Windows 10事件查看器

最新推荐文章于 2025-04-05 16:32:28 发布

_朱志强

最新推荐文章于 2025-04-05 16:32:28 发布

阅读量1.8k

点赞数 5

分类专栏： Ghost 文章标签：事件管理器

本文链接：https://blog.youkuaiyun.com/zhuzhiqiang_zhu/article/details/145757908

版权

Ghost 专栏收录该内容

2 篇文章

订阅专栏

要查看 Windows 10 电脑是否被攻击过，可以采取以下步骤：

1. 检查安全日志

事件查看器：
1. 按 Win + X，选择“事件查看器”。
2. 展开“Windows 日志”，选择“安全”。
3. 查看登录失败、账户锁定等异常活动。

2. 检查防病毒软件日志

打开你的防病毒软件，查看是否有检测到恶意软件或其他安全警告的日志。

3. 检查系统更新和补丁

确保系统和所有软件都是最新的，修复已知漏洞。
- 设置 > 更新和安全 > Windows 更新

4. 检查已安装的程序

查看是否有未知或可疑程序：
1. 设置 > 应用 > 应用和功能
2. 卸载不认识或不需要的程序。

5. 检查网络活动

任务管理器：
1. 按 Ctrl + Shift + Esc 打开任务管理器。
2. 查看“性能”和“应用历史记录”中的网络使用情况。
资源监视器：
1. 在任务管理器中，切换到“性能”选项卡。
2. 点击“打开资源监视器”，查看网络活动。

6. 检查启动项

任务管理器：
1. 打开任务管理器，切换到“启动”选项卡。
2. 禁用不需要的启动项。

7. 使用 Windows 安全中心

打开“Windows 安全中心”，运行完整扫描以检测潜在威胁。

8. 检查远程访问设置

确保远程桌面和其他远程访问设置未被启用，或仅对可信用户开放。

9. 检查用户账户

确认没有新增的可疑用户账户。
- 设置 > 账户 > 家庭和其他用户

10. 使用第三方工具

考虑使用工具如 Malwarebytes 进行深度扫描，检测潜在威胁。

总结

定期监控系统活动和日志记录是防止攻击的有效方法。如果发现异常活动，及时采取措施并更新所有安全软件。

Logon 的详细说明

在 Windows 事件查看器中，任务类别为 Logon（登录）表示与用户账户的登录或注销相关的活动。这些事件通常由 Windows 安全审核（Microsoft Windows Security Auditing）记录，用于监控系统的登录行为。

以下是关于 Logon 的详细说明：

1. Logon 事件的含义

Logon 事件是指用户或服务尝试登录到系统的记录。这些记录可能包括：

用户登录成功或失败。
本地登录（直接在电脑上登录）。
网络登录（通过远程桌面或共享资源）。
服务账户或系统进程的登录。

这些事件是 Windows 系统安全日志的一部分，常见于任务类别为 Logon 的事件。

2. 常见相关事件 ID

以下是与 Logon 相关的常见事件 ID 及其含义：

事件 ID	描述
4624	成功的登录事件（用户或服务成功登录到系统）。
4625	登录失败事件（用户或服务尝试登录失败）。
4634	用户注销事件（用户从系统注销）。
4647	用户主动注销事件。
4672	分配特殊权限的登录（例如管理员权限登录）。

3. 如何分析 Logon 事件

当你看到大量与 Logon 相关的事件时，可以重点关注以下内容：

（1）查看事件详情

双击某个 Logon 事件，查看详细信息，重点关注以下字段：

账户名：显示尝试登录的用户账户。
登录类型：识别登录的类型（见下方登录类型解释）。
来源网络地址：如果是远程登录，会显示来源的 IP 地址。
状态代码：如果登录失败，会显示失败的原因（如密码错误、账户被锁定）。

（2）登录类型说明

事件详情中的“登录类型”是一个关键字段，用于识别登录的方式。常见登录类型如下：

登录类型	描述
2	本地登录（用户直接在电脑前登录，例如键入用户名和密码）。
3	网络登录（通过网络访问资源，例如共享文件夹或远程桌面）。
4	批处理登录（用于运行脚本或任务计划程序）。
5	服务登录（系统服务启动时的登录）。
7	解锁工作站（用户从锁屏状态解锁）。
10	远程交互登录（例如通过远程桌面协议登录）。
11	使用缓存凭据登录（例如离线登录）。

（3）识别异常行为

频繁的登录失败（事件 ID 4625）：可能是暴力破解攻击的迹象。
未知的账户名或来源 IP 地址：可能是未经授权的访问尝试。
异常的登录类型：例如远程登录（登录类型 3 或 10）出现在你不期望的时间。

4. 是否需要担心？

正常情况：如果 Logon 事件中显示的账户名是你自己或可信用户，并且登录类型符合预期（例如登录类型 2 或 7），则不需要担心。
异常情况：如果发现大量登录失败（事件 ID 4625）或未知 IP 地址的网络登录（登录类型 3 或 10），可能需要进一步调查。

5. 下一步建议

检查登录来源：查看是否有陌生账户名或 IP 地址。
检查登录时间：确认是否有在非正常时间的登录行为。
启用防火墙和远程访问限制：如果怀疑有异常远程登录，关闭远程桌面功能或限制访问权限。
修改密码：如果怀疑账户被攻击，立即修改密码并启用双重验证（如果支持）。
运行安全扫描：使用 Windows 安全中心或第三方杀毒软件进行全面扫描。

如果你能提供更多日志信息（例如事件 ID、登录类型、来源 IP 地址等），我可以帮你进一步分析是否存在安全威胁。

日志大小限制

Windows 的日志默认情况下会根据日志大小和配置进行管理，而不是按照时间长度保存。具体来说：

日志大小限制：每个日志文件（如应用程序、安全、系统日志）都有一个最大大小限制。当日志达到此大小时，系统会根据配置选择覆盖旧日志或停止记录新日志。
日志配置选项：
- 覆盖旧事件：当日志满时，开始覆盖最早的事件。
- 需要手动清除日志：日志满时停止记录，需要手动清除。
- 自动备份并清除：日志满时自动备份并清除旧日志。