非管理员用户清空事件日志表明系统日志完整性失控，须通过重置NTFS权限、禁用事件查看器启动、验证封锁效果三步彻底阻断：先用icacls检查并重置日志目录权限，再通过组策略或注册表禁止非管理员运行eventvwr.msc，最后切换标准用户验证拦截是否生效。
Win10中非管理员用户若能清空事件日志，意味着系统日志完整性已失控——关键安全审计线索可能被抹除，且事后无法追溯操作者。这在企业环境或多人共用电脑时构成严重风险，必须从权限层彻底阻断。
确认当前日志文件权限是否已被放宽
默认情况下，只有Administrators组和SYSTEM账户对%SystemRoot%\System32\winevt\Logs目录下的.evtx文件拥有完全控制权。但若此前执行过手动授权、导入过错误的安全模板，或运行过第三方“优化工具”，该权限很可能已被修改。第一步不是直接设限，而是先查清现状：按下Win + R，输入cmd并按Ctrl+Shift+Enter以管理员身份运行命令提示符；执行icacls "%SystemRoot%\System32\winevt\Logs" /t，观察输出中是否有非管理员用户（如Users、Everyone）被赋予F（完全控制）或M（修改）权限。
若发现BUILTIN\Users:(M)或类似条目，说明权限已被扩大，需立即修正——否则后续所有设置都形同虚设。
重置事件日志目录的NTFS权限
这一步必须以管理员身份执行，且不可跳过：在管理员命令提示符中依次运行以下三条命令，每条后按回车：
icacls "%SystemRoot%\System32\winevt\Logs" /reset /T
icacls "%SystemRoot%\System32\winevt\Logs" /grant "NT AUTHORITY\SYSTEM:(F)" /grant "BUILTIN\Administrators:(F)" /inheritance:r
icacls "%SystemRoot%\System32\winevt\Logs" /deny "BUILTIN\Users:(WD,AD,WA,WO,DC,DT,GR,GE,GA)"
第三条命令中的/deny是核心：它显式拒绝Users组对日志目录执行写入、删除、更改权限等全部操作，优先级高于任何继承来的允许权限。注意：【执行前请确保已备份重要日志】，因为权限重置后，若某用户此前已获得特殊授权，其访问将立即失效。
禁用非管理员用户的事件查看器启动能力
即使无法写入日志目录，普通用户仍可打开事件查看器（eventvwr.msc）——界面虽无清除按钮，但可通过PowerShell绕过UI限制。最稳妥的方式是直接阻止其启动该管理单元：
方法一：通过组策略（仅限专业版/企业版）
按下Win + R，输入gpedit.msc→导航至“用户配置→管理模板→Windows组件→Microsoft管理控制台”→双击“禁止用户访问‘添加或删除管理单元’”→启用→再双击“只允许用户访问指定的管理单元”→启用→在下方“显示”框中填入eventvwr.msc（注意不带引号）→确定。
方法二：注册表强制拦截（全版本适用）
按下Win + R，输入regedit→定位到HKEY_CURRENT_USER\Software\Policies\Microsoft\MMC（若不存在则右键新建该项）→右键新建DWORD(32位)值，命名为RestrictToPermittedSnapins，数值数据设为1→再新建字符串值，命名为PermittedSnapins，数值数据填入{b0aa5d3e-798e-11cf-9bc9-00aa006c34e4}（这是事件查看器的CLSID，不可写错）。
重启资源管理器或注销当前用户后，非管理员账户双击eventvwr.msc将弹出“此管理单元未获许可”提示，彻底失去入口。
验证权限封锁效果
切换至一个标准用户账户（非管理员），尝试以下任一操作：
① 按Win + R输入eventvwr.msc，确认是否被拦截；
② 打开文件资源管理器，手动导航至%SystemRoot%\System32\winevt\Logs，右键任意.evtx文件，选择“属性→安全→编辑”，确认“Users”组已从组或用户名列表中消失，或仅剩“读取”权限；
③ 在PowerShell中执行wevtutil cl System，应返回错误提示：“拒绝访问”或“找不到日志”。
三项均失败即代表封锁生效。此时只有管理员账户可通过事件查看器界面或wevtutil命令清除日志，且所有清除操作将在“安全”日志中留下记录（事件ID 1102），实现可审计性。
