一、Windows操作系統日志介紹：
1.Windows操作系統日志介紹：
<1>.Windows操作系統在運行生命周期，以特定數據結構方式存儲、記錄OS大量運行的日志信息，例如：System、Security、Application... ...，主要包括：Windows事件日志（Event Log）、Windows Web Server IIS日
志、Windows FTP日志、Exchange Server郵件服務、MS SQL Server數據庫日志等。
<2>.Windows日志包含9個元素：日期/時間、事件類型、用戶、計算機、事件ID、來源、類別、描述、數據... ... ...。
<3>.系統內置3個核心日志文件（System、Security、Application）;
默認大小均為20480KB（20MB）,數據超過20MB，默認系統將優先覆蓋過期日志記錄。
<5>.應用程序、服務日志默認最大1024KB，超過最大限制也優先覆蓋過期的日志記錄。
2.Windows事件日志，共有五種事件類型：
注：所有事件必須擁有五種事件類型中的一種，且只可以有一種。
<1>.信息（Information）
指應用程序、驅動程序、服務的成功操作的事件。
<2>.警告（Warning）
運行故障和警告信息。例如，刪除硬盤操作。
<3>.錯誤（Error）
通常指功能和數據的丟失。e.g.如果一個服務不能作為系統引導被加載，即會產生一個錯誤事件。
<4>.成功審核（Success audit）
成功審核的安全訪問嘗試，主要是指安全性日志，這里記錄着用戶登錄/注銷、對象訪問、特權使用、賬戶管理、策略更改、目錄服務訪問、賬戶登錄等事件。
注：所有成功登錄系統的事件，都被記錄“ 成功審核”事件。ID號4624。
<5>.失敗審核（Failure audit）
失敗審核的安全登錄嘗試。
注：用戶試圖通過RDP 3389嘗試的失敗登錄，都以失敗審核事件記錄下來。ID號4625。
3.幾種類型Windows日志：
<1>.System系統日志：
系統進程、設備、磁盤活動等。記錄了設備驅動無法正常啟動或停止，硬件失敗，重復IP地址，系統進程的啟動，停止及暫停等行為。
<2>.Security安全日志：
包含安全性相關的事件。e.g.用戶權限變更，登錄及注銷，文件/文件夾訪問等信息。
<3>.Application應用程序日志：
包含操作系統安裝的應用程序軟件相關的事件。事件包括了錯誤、警告及任何應用程序需要報告的信息，應用程序開發人員可以決定記錄哪些信息。
<4>.應用程序及服務日志:
如遠程桌面客戶端連接、無線網絡、有線網路、設備安裝等相關日志。
注：可在windows操作系統中打開cmd指令，輸入"eventvwr.msc"打開日志，"windows日志"文件里面找到系統日志。
4.關於windows操作系統日志的刪除：
Windows操作系統默認沒有提供刪除特定日志記錄的功能，僅提供刪除所有日志的操作功能，因此，日志記錄ID（Event Record ID）應該是連續的(默認的排序方式應是從大到小往下排列)，當發現日志為不連續的時候，要警惕是
否日志被刪除了。
早期版本Windows日志只有應用程序、安全、系統、Setup安裝，新版本OS增加了設置及轉發事件日志（默認禁用），如需要的話可以打開。
5.導出windows日志文件：
右擊所需要保存的日志，選擇"將所有日志另存為"，可選格式如圖：.evtx、.xml、.txt、.csv，
6.windows日志事件ID和登陸類型：
<1>.windows日志事件ID：
4624，成功的登錄；
4625，失敗的嘗試；
4672，授予特殊權限；
4720，添加用戶；
4726，刪除用戶；
4634，成功的注銷；
4672，超級用戶登錄；
<2>.Windows日志事件的登錄類型：
每個成功登錄的事件都會標記一個登錄類型，不同登錄類型，代表不同的方式。
詳細的安全事件的說明：
二、Windows操作系統日志分析：
1.Log Parser：
<1>.介紹：
微軟出品日志分析工具，具備通用日志分析能力；
可實現分析Windows系統日志、IIS、Apache、Tomcat、Nginx等日志；
功能強大，可分析基於文本的日志文件、XML 文件、CSV逗號分隔符文件，以及操作系統事件日志、注冊表、文件系統、Active Directory。
可使用SQL語句查詢分析日志數據，甚至可以將分析結果以各種圖表的形式展現。
<2>.下載地址：
https://www.microsoft.com/en-us/download/details.aspx?id=24659
<3>.Log Parser的輔助、加強工具，圖形化界面操作--Log Parser Lizard GUI。
下載地址：https://lizard-labs.com/products.aspx
2.Splunk日志數據分析平台 ：
<1>.介紹：
Splunk是強大的日志數據收集、索引、分析和處理、搜索引擎。
<2>.下載地址：
https://www.splunk.com/en_us/download/splunk-enterprise.html
3.logonTracer ：
<1>.介紹：
Windows系統，安全登錄日志分析工具logonTracer
<2>.下載地址：