| 用途 | 检测日志清空行为 |
|---|---|
| 关键字段 | SubjectUserName（执行者）、时间 |
| 关联 | Windows 还会记录 104（其他通道被清） |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -MaxEvents 10 | Select-Object TimeCreated, @{n='By';e={$_.Properties[1].Value}} | Format-Table -AutoSize
# 其他通道被清
Get-WinEvent -FilterHashtable @{LogName='System'; Id=104} -MaxEvents 10在合规环境清安全日志属违规操作：审计策略里应把 1102 配置为告警项。