---

一、試題及考試說明

企業安全技術人員需要對Windows Server系統中的日志進行管理和分析，具體要求如下：

1. 在計算機策略中，啟用安裝程序的日志記錄，并且配置日志大小最大10M，日志存儲位置為D:\kaoshi_3\2.2.5\；
2. 查詢安全日志中登錄失敗的日志信息，并導出保存在D:\kaoshi_3\2.2.5\fail.txt文件中；
3. 查詢應用程序日志中事件級別為“警告”的日志信息，并導出保存在D:\kaoshi_3\2.2.5\app_warning.txt文件中。

---

二、操作步驟

1. 在計算機策略中，啟用安裝程序的日志記錄，并且配置日志大小最大10M，日志存儲位置為D:\kaoshi_3\2.2.5\；

本地組策略編輯器 → 計算機配置 → 管理模板 → Windows組件 → 事件日志服務 → 安裝程序 → 啟用日志記錄/指定日志文件的最大大小

2. 查詢安全日志中登錄失敗的日志信息，并導出保存在D:\kaoshi_3\2.2.5\fail.txt文件中；

在事件查看器中，篩選安全日志中登錄失敗（ID為4625）的日志信息，并全選（用shift鍵），將登錄失敗（ID為4625）的日志信息保存為D:\kaoshi_3\2.2.5\fail.txt。
事件查看器中 → Windows日志 → 安全 → 右鍵安全 → 篩選當前日志

3. 查詢應用程序日志中事件級別為“警告”的日志信息，并導出保存在D:\kaoshi_3\2.2.5\app_warning.txt文件中。

事件查看器中 → Windows日志 → 應用程序 → 右鍵應用程序 → 篩選當前日志
在事件查看器中，篩選應用程序日志中事件級別為“警告”的日志，應用程序日志中事件級別為“警告”的日志,全選保存為D:\kaoshi_3\2.2.5\app_warning.txt。

---