使用Log Parser Lizard分析Windows日志

作者:tKC 发布时间:August 25, 2011 分类:IT技术,微软,网络安全

Log Parser Lizard是基于Log Parser的图形化工具

界面友好,早就听过该软件的大名,一直没用过,今天要通过分析日志找到删除某个文件的人,当然前提是你的文件要开启对象访问设置(文件夹属性-安全-高级-审核-添加对象访问设置,详细请google吧)
方法如下,先安装好Log Parser Lizard,事件类型选择Windows Event Log,在最下方的Query中写入如下查询语句
select * from D:\yourname.evt where EventID=560 and Strings like '%关键字%' and Message like '%DELETE%'
D:\yourname.evt是你的日志文件,或者直接输入System则为读取本机系统日志
EventID=560是限定事件ID,560指的文件特权操作,当然包含了删除动作,呵呵
Strings like ‘%关键字%’ 设置文件或文件夹关键字过滤,这里输入被删文件文件名就可以了
Message like ‘%DELETE%’ 这个限定了文件特权动作为删除动作

按此方式就可以分析出来限定关键字文件的删除日志,可以查到哪个IP和帐号删除的文件

标签: log, 日志分析

添加新评论 »

captcha
请输入验证码