Windows日志主要分为应用程序日志、系统日志和安全日志三类：应用程序日志记录软件运行事件，系统日志记录操作系统组件活动，安全日志记录登录审计等安全操作，三者共同支撑故障排查、性能监控与安全分析。
windows 日志主要分为三类：应用程序日志、系统日志和安全日志。它们各自记录不同层面的运行信息，作用明确、位置固定、查看方式统一，是排查故障、监控性能和响应安全事件的基础依据。
应用程序日志：定位软件级问题
记录由用户态程序（如IIS、SQL Server、.NET应用等）主动写入的事件，内容取决于开发者是否调用ReportEvent() API以及配置了哪些审计项。常见于程序崩溃、数据库连接失败、自定义服务异常等场景。
- 默认存储路径：
C:\Windows\System32\winevt\Logs\Application.evtx - 典型事件源包括：
W3SVC（IIS）、MSSQLSERVER（SQL Server）、.NET Runtime - 日志大小默认约20MB，满后可配置为“按需覆盖”或“手动存档”
系统日志：反映操作系统健康状态
由内核组件、驱动程序和服务（如Spooler、W32Time）生成，涵盖硬件初始化、服务启停、驱动加载失败、系统错误等底层活动。它是判断系统是否稳定运行的第一手资料。
- 默认存储路径：
C:\Windows\System32\winevt\Logs\System.evtx - 关键事件ID示例：6005/6006（事件日志服务启动/停止）、7000（服务启动失败）、12（磁盘控制器错误）
- 无需额外启用审核策略，只要系统运行就会持续记录
安全日志：支撑审计与攻防分析的核心依据
专门记录登录注销、权限变更、对象访问、策略修改等安全相关行为。但该日志默认为空——必须通过组策略或本地安全策略显式启用“审核策略”，否则不产生任何条目。
- 默认存储路径：
C:\Windows\System32\winevt\Logs\Security.evtx - 仅允许
LocalSystem账户及拥有“管理审核和安全日志”权限的用户读取 - 常见高价值事件ID：4624（成功登录）、4625（登录失败）、4672（特权登录）、4688（进程创建）
不复杂但容易忽略：三类日志虽共用同一套存储格式（.evtx二进制），但来源、权限控制和启用逻辑完全不同。日常运维中，系统与应用程序日志用于排障，安全日志则必须提前配置才能在应急时发挥作用。
