防止关键取证信息被覆盖，需禁用日志自动覆盖、强制归档并外存、满足180天合规留存，windows启用autobackuplogfiles注册表项及事件查看器手动清除触发归档，linux强化logrotate周期与maxage、rsyslog远程同步、chattr+chmod权限锁定，并通过哈希校验、审计日志、worm存储确保完整性可验证。
要防止关键取证信息被覆盖，核心是让日志不被自动循环删除，同时确保保留时间满足合规底线（如等保2.0要求≥180天），并具备可验证的完整性。这不能只靠“调大日志文件大小”或“选不覆盖”，必须结合归档机制、外部存储和策略固化。
Windows：启用自动归档 + 禁用覆盖 + 外部转移
仅在事件查看器里勾选“不覆盖事件”会导致日志写满后新事件丢失，无法用于实时取证。正确做法是启用系统级自动归档：
- 以管理员身份打开注册表编辑器，定位到：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Security - 新建 DWORD 值 AutoBackupLogFiles，设为 1
- 在事件查看器中，右键“安全”日志 → “属性” → 勾选“不覆盖事件（手动清除日志）”
- 点击“清除日志”→ 选择“是”，立即生成首个归档文件（如 Archive-Security-2026-06-16-19-40-12-345.evtx）
- 此后当日志达到设定大小（建议 500 MB 起），系统自动归档并新建空白日志，并记录事件 ID 524
- 归档文件默认存于 %SystemRoot%\System32\config\，需用 PowerShell 脚本定期移出至网络共享或NAS，并按180天自动清理旧文件
Linux：强化 logrotate + 远程同步 + 权限锁定
默认 logrotate 配置（如 rotate 4）仅保留约1个月，远不满足取证要求。必须显式定义周期与数量，并阻断本地篡改可能：
- 编辑 /etc/logrotate.conf，将全局策略改为：
daily
rotate 26（保留26天）→ 若需6个月，改用 monthly + rotate 6 - 对关键日志（如 /var/log/secure、/var/log/auth.log）单独配置，在 /etc/logrotate.d/ 下建文件，加入：
dateext（带日期后缀）
maxage 180（自动删除超180天文件）
compress + delaycompress（压缩但不压缩最新轮转） - 配置 rsyslog 将日志实时转发至远程日志服务器（如使用
*.* @192.168.10.100:514），确保即使本机被攻陷，原始日志仍存在异地 - 对本地日志目录执行
chattr +a /var/log（仅允许追加），再用chmod 640 /var/log/*.log限制读写权限
通用加固项：让归档本身可审计、不可抵赖
单纯保存文件不够，取证时需证明日志未被删改、时间线连续：
- 所有归档操作（Windows 归档触发、logrotate 执行）必须写入独立审计日志，并开启其自身审计（如 Linux 的 auditd 监控 /etc/logrotate.d/ 修改）
- 对归档后的 .evtx 或 .gz 文件，用
sha256sum或 WindowsCertUtil -hashfile生成哈希值，存入只读位置（如 WORM 存储或区块链存证服务） - 禁用普通用户对事件查看器或 journalctl 的导出权限；Windows 中通过组策略禁用“导出列表”右键菜单，Linux 中限制
systemctl status和journalctl --since的访问范围 - 每季度运行一次校验脚本，比对归档文件数量、时间跨度、哈希一致性，并邮件告警异常
