日志大小与保留策略怎么配
每个事件日志通道都有独立的大小上限与覆盖策略：写满后是循环覆盖最早的事件（默认），还是停止记录等待人工清理。默认容量往往偏小，Security 通道几分钟到几小时就可能被覆盖，这对故障溯源是致命的。合理做法是按“保留周期 × 写入速率”估算容量，同时把重要日志集中转发出去做长期留存。
基本信息
| 适用平台 | Windows 7 / Server 2008 R2 及以上 |
|---|---|
| 命令行 | wevtutil sl <通道> /ms:<字节数> /rt:true|false |
| 图形入口 | 事件查看器 → 通道属性 → 日志大小 / 覆盖策略 |
| GPO 入口 | 计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 |
| 读取当前值 | wevtutil gl <通道>（关注 maxSize 与 retention） |
典型使用场景
- 安全审计准备：确认 Security 通道容量能覆盖审计要求的留存天数
- 故障复盘：事故后发现日志已被覆盖，回头统一调大关键通道
- GPO 统一配置：用组策略给所有服务器下发一致的日志容量
- 容量规划：按每日写入量估算需要多大空间，避免挤占系统盘
- 留存合规：本地日志配合集中收集（WEF/SIEM）满足长期留存要求
常用示例
常用示例
:: 查看通道当前配置（大小、覆盖策略）
wevtutil gl Security
:: 调大到 512MB（参数单位是字节）
wevtutil sl Security /ms:536870912
:: 改为“写满后停止记录、等待人工清理”（false 才是这个语义）
wevtutil sl Security /rt:false
:: 确认生效
wevtutil gl Security | findstr /i "maxSize retention"
:: PowerShell 等价查看
Get-WinEvent -ListLog Security | Select-Object LogName, MaximumSizeInBytes, LogMode, FileSize配置项读法
| 配置项 | 含义 | 建议 |
|---|---|---|
| 最大大小 | 该通道允许占用的字节数 | 按保留周期与写入速率估算 |
| 覆盖策略 | 写满后是否覆盖最早事件 | 关键通道可用停止覆盖，防止证据被冲掉 |
| 日志文件位置 | evtx 存放路径 | 与系统盘分离可减少相互影响 |
| 当前大小 | 已占用的实际字节数 | 接近上限说明留存窗口很短 |
容量不是越大越好：所有通道都调成几 GB 会明显挤占磁盘，而且大量历史日志在本地也不便于检索。更合理的组合是“本地够查近期问题 + 集中收集做长期留存”。
每个通道独立配置。改完只抽查一两个通道看不出全局效果，重点通道（Security、System、PowerShell、关键组件通道）要逐个确认。
把“覆盖策略”设为停止记录后要配套监控：通道写满后再也不会记录任何事件，如果没人发现，等于在关键时期失去了所有日志证据。