应将系统日志最大大小设为20480KB并启用自动覆盖，安全日志设为40960KB且禁用覆盖，通过事件查看器、PowerShell、组策略等方式统一配置，并确保C盘剩余空间≥2GB以保障日志正常写入。

如果您发现 Windows 11 的事件查看器中系统日志持续增长，占用大量磁盘空间，或关键历史事件因自动覆盖而丢失，则很可能是日志最大保存大小设置过小或覆盖策略不合理所致。以下是修改系统日志保存大小以优化事件查看器空间占用的具体操作方法：

一、通过事件查看器图形界面调整单个日志最大大小

每个 Windows 日志（如系统、安全、应用程序）均独立配置其存储上限与覆盖行为，直接在属性中修改可实现精准容量控制，并避免影响其他日志类型。

1、按下 Win + R 组合键，输入 eventvwr.msc，回车打开事件查看器。

2、在左侧导航栏依次展开“Windows 日志”，右键点击目标日志（例如“系统”），选择“属性”。

3、在弹出的属性窗口中，找到“日志大小”区域，将“最大日志大小(KB)”数值修改为 20480（即20MB，为推荐稳定值）或更高（如 40960 对应40MB）。

4、在“当日志达到最大值时”下拉菜单中，选择 按需要覆盖事件（默认选项，旧事件优先覆盖）或 不覆盖事件（手动清除日志）（适用于审计合规场景）。

5、点击“确定”保存设置；若提示需重启日志服务，勾选“是”后等待日志自动重载。

二、使用 PowerShell 批量配置核心日志大小与覆盖策略

为确保系统、安全、应用程序三大核心日志保持统一的容量管理标准，避免逐一手动配置遗漏，可通过 PowerShell 命令一次性设定最大大小及自动覆盖开关。

1、右键点击“开始”按钮，选择“终端（管理员）”。

2、依次执行以下三条命令，分别设置系统、安全、应用程序日志的最大大小为 20480 KB 并启用自动覆盖：

wevtutil sl System /ms:20480 /rt:true

wevtutil sl Security /ms:20480 /rt:true

wevtutil sl Application /ms:20480 /rt:true

3、每条命令执行后无报错即表示设置成功；可运行 wevtutil gl System 验证当前“maxSize”的返回值是否为20480。

三、单独强化安全日志容量与保留策略

安全日志记录登录行为、权限变更等关键审计信息，部分组织策略要求禁用自动覆盖并扩大容量以满足合规留存周期，需区别于其他日志单独配置。

1、在事件查看器中，右键“安全”日志 → “属性”。

2、将“最大日志大小(KB)”设为 40960 或 102400（100MB），确保足够容纳多日登录事件。

3、取消勾选“按需要覆盖事件”，改选 不覆盖事件（手动清除日志）；此时当日志满时将停止记录新事件，并在系统托盘显示警告。

四、通过组策略统一部署日志大小设置（仅限专业版/企业版）

在域环境或需集中管控的设备群中，组策略可强制应用统一日志大小配置，覆盖本地用户修改，确保策略一致性与可审计性。

1、按下 Win + R，输入 gpedit.msc 并回车，打开本地组策略编辑器。

2、依次展开：计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 → 系统。

3、双击右侧“指定系统日志的最大大小”策略，设为“已启用”。

4、在下方输入框中填写具体数值，例如输入 20480 表示上限为20480KB。

5、点击“确定”，关闭组策略编辑器；设置即时生效，无需重启。

五、验证日志所在磁盘剩余空间并校准配置合理性

日志文件写入依赖磁盘可用空间，若所在卷（通常为C盘）剩余空间不足2GB，即使设置较大日志上限，系统也会自动缩减实际写入量或拒绝记录新事件。

1、打开“设置”→“系统”→“存储”，查看C盘剩余空间是否 ≥ 2 GB。

2、若低于该阈值，先执行磁盘清理（cleanmgr）、清空回收站、删除Windows.old等大型残留项。

3、确认磁盘空间达标后，再次运行 wevtutil gl System 检查日志当前大小与最大值是否同步。

4、观察事件查看器“概述”页中“日志大小”栏的“当前值/最大值”比值，若长期接近100%，说明所设上限仍偏小或事件生成频率异常升高。