“细心呵护”Windows日志文件

来源：电脑报作者：孙成出处：巧巧读书 2006-02-05 进入讨论组

　　Windows日志文件记录着系统中各项服务的每一个细节，如系统的启动、运行、关闭等信息，它对Windows系统的稳定和安全，起到至关重要的作用。我们通过查看Windows日志，可以即时找出系统出现故障的原因。

但往往也容易忽视对日志文件的保护，有些“不法之徒”成功入侵你的机器后，日志文件被清洗一空，使我们无从下手，找出系统漏洞所在。如何保护Windows日志文件呢？成为大家瞩目的焦点。下面跟笔者一起来吧！细心呵护我们的Windows日志。

　　修改日志文件路径

　　众所周知，Windows日志文件默认位置是“%systemroot%\system32\config”，它包括应用程序日志、安全日志、系统日志等，对应的日志文件分别为AppEvent.EVT、SecEvent.EVT和SysEvent.EVT。虽然这些文件受到“Event Log”服务的保护不能被删除，但可以被清空。为了保护这些日志文件完整性，可以使用注册表编辑器修改日志文件的存放路径。

　　点击“开始→运行”，在运行对话框输入“regedit”命令，弹出注册表编辑器窗口，依次展开“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog”项，下面存在的Application、Security、System几个子键分别对应“应用程序日志、安全日志、系统日志”。下面以应用程序日志为例，介绍如何修改日志文件路径。

　　选中“Application”子键，在右侧框中找到“File”项，双击打开，它的键值就是“应用程序日志”文件的路径，默认为“%SystemRoot%\system32\config\AppEvent.Evt”。下面将其值修改为“C:\cpcw\AppEvent.Evt”。接着在C盘根目录下新建一个“cpcw”目录，然后将“AppEvent.Evt”拷贝到该目录下，重新启动系统后，就完成应用程序日志文件路径的修改。其它日志文件路径修改方法相同，就不再赘述了。URL:http://www.qqread.com/win98/f021254106.html 更多内容请看Windows操作系统安装、Windows权限设置、Linux日志专题专题，或进入讨论组讨论。