T1685.005: 清除 Windows 事件日志

摘要

攻击者可能清除 Windows 事件日志，以隐藏入侵活动。Windows 事件日志是计算机警报和通知的记录。有三个系统定义的事件来源：System、Application 和 Security，以及五种事件类型：Error、Warning、Information、Success Audit 和 Failure Audit。 拥有管理员权限时，可以使用以下实用程序命令清除事件日志： * `wevtutil cl system` * `wevtutil cl application` * `wevtutil cl security` 这些日志也可以通过其他机制清除，例如事件查看器 GUI 或 [PowerShell](https://attack.mitre.org/techniques/T1059/001)。例如，攻击者可能使用 PowerShell 命令 `Remove-EventLog -LogName Security` 删除安全事件日志，并在重启后禁用未来的日志记录。注意：在命令运行到重启之间，事件仍可能在 .evtx 文件中生成并记录。(Citation: disable_win_evt_logging) 攻击者还可能尝试通过直接删除 `C:\Windows\System32\winevt\logs\` 中存储的日志文件来清除日志。