日志分析-windows系统日志分析

日志分析-windows系统日志分析

使用事件查看器分析Windows系统日志
cmd命令 eventvwr

筛选

清除日志、注销并重新登陆，查看日志情况


Windows7和Windowserver2008R2的主机日志保存在C:\Windows\System32\winevt\Logs文件夹下，Security.evtx即为Windows安全节点下安全日志，双击即可使用事件查看器打开并进行查看

使用LogParser分析Windows日志
将安全日志导出为csv文件
LogParser.exe “SELECT * INTO SecurityEvents.csv FROM Security” -i:EVT