當windows伺服器遭到入侵時，在運作過程中經常需要檢索和深入分析相應的安全日志。除安全防護裝置外，系統軟體内置系統日志是調查驗證的關鍵材料，但此類系統日志數量非常龐大，須要對windows安全日志開展合理深入分析，以擷取我們需要的有用資訊，這一點尤為重要。本文詳細介紹了windows的系統日志種類，存儲具體位置，檢索方式，以及使用工具的友善檢索。
系統日志資訊在windows系統軟體運作過程中會不斷地被記錄，依據記錄的種類能夠分成系統日志、IIS系統日志、ftp用戶端系統日志、資料庫系統日志、郵件服務系統日志等。活動記錄，WindowsEventLog檔案實際上是以一種特殊的資料結構存儲内容，包含關于系統軟體、安全性、應用軟體的記錄。在每一個記錄事件的資料結構中包含9個要素(這能夠了解為資料庫中的字段)：日期/時間、事件種類、使用者、計算機、事件ID、源、類别、說明、資料等等。操作員能夠通過系統日志調查驗證，了解到計算機中發生的具體行為。
啟動-運作，鍵入bindvwr.msc點開事件檢視器來查詢系統日志。您能夠看到，事件檢視器将系統日志分成兩大類：windows系統日志、應用軟體系統日志和服務系統日志，其中還有一些種類的事件，如應用軟體、安全性、setup、系統軟體、forwardedevent。下面分别開展詳細介紹：
活動種類
應用軟體系統日志。
包含應用軟體或系統軟體程式記錄的事件，主要是記錄程式執行層面的事件，例如資料庫程式能夠記錄應用軟體系統日志中的檔案不正确，軟體開發人員能夠自己選擇要監視哪些事件。當一個應用軟體癱瘓時，我們可以從程式系統日志中找到對應的記錄，這可能對解決問題有所幫助。
預設目錄位置：%SystemRoot%\系統軟體32\Winevt\登入\應用軟體.evtx。
·系統日志。
由作業系統元件發生的事件記錄，具體包含驅動軟體癱瘓、系統軟體元件和應用軟體癱瘓以及資料丢失不正确等。WindowsNT/2000作業系統預先定義了系統日志中記錄的時間種類。
預設目錄位置：%SystemRoot%\System32\Winevt\登入\系統軟體.evtx
·安全記錄
包含應用軟體或系統軟體程式記錄的事件，主要是記錄程式執行層面的事件，例如資料庫程式能夠記錄應用軟體系統日志中的檔案不正确，軟體開發人員能夠自己選擇要監視哪些事件。當一個應用軟體癱瘓時，我們可以從程式系統日志中找到對應的記錄，這可能會幫助您解決問題。
溯源日志排查總結：首先确認下網站被入侵後篡改檔案的修改時間，然後檢視下網站日志檔案中對應時間點有無POST的日志URL，然後篩選出來查下此IP所有的日志就能确定是否是攻擊者，如果伺服器被入侵的話可以查詢系統日志看下最近時間的登入日志，以及有無增加預設管理者使用者之類的，如果想要更詳細的查詢是如何被入侵的話可以尋求網站安全公司的幫助，推薦SINESAFE,鷹盾安全，綠盟，啟明星辰，大樹安全等等這些都是很不錯的網站安全公司。