Windows安全防御措施触发日志记录需手动启用：防火墙拦截/放行对应事件ID5157/5156或pfirewall.log；Defender查杀记录于Operational日志；登录活动记入安全日志（ID4624/4625）；组策略生效记录在系统日志（ID4016等）；AppLocker阻止行为存于专用日志。
windows 安全防御措施触发日志记录，核心在于让系统把关键防护动作“写下来”，而不是只在后台默默执行。日志本身不主动防御，但它是事后追溯、定位异常、验证策略是否生效的唯一依据。
哪些安全措施会留下可查日志
不是所有防御行为都自动记日志，需手动启用或满足条件：
-
Windows Defender 防火墙：拦截连接、放行连接，默认不记录；启用后生成
pfirewall.log，或通过安全日志中事件 ID 5156（允许）、5157（阻止）体现 -
Windows Defender 防病毒引擎：检测、隔离、删除威胁时，会在“病毒和威胁防护历史记录”界面直观展示；底层日志存于事件查看器路径：
应用程序和服务日志 → Microsoft → Windows → Windows Defender → Operational -
登录与账户活动：用户登录/注销、密码重置、权限变更等，统一记入安全日志（
Security.evtx），对应事件 ID 如 4624（成功登录）、4625（失败登录）、4720（创建用户） -
组策略应用结果：策略生效、失败或被覆盖，会在系统日志（
System.evtx）中以事件 ID 4016、4017 等形式出现 -
AppLocker 或设备防护规则：当程序被阻止运行时，会写入
Application.evtx或专用日志（如 AppLocker 日志位于Applications and Services Logs → Microsoft → Windows → AppLocker）
日志必须开启才有效
多数日志默认关闭或仅记录极简信息。例如：
- 防火墙日志需在
wf.msc中为域/专用/公用三个配置文件分别勾选“记录被丢弃的数据包” - 安全日志中的登录事件，依赖本地组策略中“审核登录事件”已启用（路径：
计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略） - Defender 实时保护动作，即使未手动配置，也会在“保护历史记录”中留存两周，但更早记录需靠事件查看器中的 Operational 日志
快速定位关键日志的方法
不用翻遍全部日志，聚焦常用入口：
- 查被拦的网络连接：打开事件查看器 →
Windows 日志 → 安全→ 筛选事件 ID 5157 - 查杀毒动作详情：事件查看器 →
应用程序和服务日志 → Microsoft → Windows → Windows Defender → Operational→ 刷新后看最新条目 - 查谁登过系统：事件查看器 →
Windows 日志 → 安全→ 筛选 ID 4624 和 4625，按时间排序 - 查最近防护变化：Windows 安全中心 → “保护历史记录” → 卡片式汇总，点击展开看进程路径与时间戳
日志能用的前提是保存完整且不易被删
攻击者常清除日志掩盖痕迹，所以不能只依赖本地文件：
- 日志最大大小建议设为 8192 KB 以上，避免高频事件下被快速覆盖
- 将
pfirewall.log或其他关键日志路径改到非系统盘（如D:\Logs\Firewall\），并确保SYSTEM和Administrators有完全控制权 - 对安全日志启用“不覆盖事件（保留日志）”策略，或配置日志转发至远程 SIEM 系统（如 Windows Event Forwarding + Log Analytics）
- 定期导出重要事件（如连续 5 次登录失败、RID 500 账户异常活动）做离线备份
