---

一、试题及考试说明

企业安全技术人员需要对Windows Server系统中的日志进行管理和分析，具体要求如下：

1. 在计算机策略中，启用安装程序的日志记录，并且配置日志大小最大10M，日志存储位置为D:\kaoshi_3\2.2.5\；
2. 查询安全日志中登录失败的日志信息，并导出保存在D:\kaoshi_3\2.2.5\fail.txt文件中；
3. 查询应用程序日志中事件级别为“警告”的日志信息，并导出保存在D:\kaoshi_3\2.2.5\app_warning.txt文件中。

---

二、操作步骤

1. 在计算机策略中，启用安装程序的日志记录，并且配置日志大小最大10M，日志存储位置为D:\kaoshi_3\2.2.5\；

本地组策略编辑器 → 计算机配置 → 管理模板 → Windows组件 → 事件日志服务 → 安装程序 → 启用日志记录/指定日志文件的最大大小

2. 查询安全日志中登录失败的日志信息，并导出保存在D:\kaoshi_3\2.2.5\fail.txt文件中；

在事件查看器中，筛选安全日志中登录失败（ID为4625）的日志信息，并全选（用shift键），将登录失败（ID为4625）的日志信息保存为D:\kaoshi_3\2.2.5\fail.txt。
事件查看器中 → Windows日志 → 安全 → 右键安全 → 筛选当前日志

3. 查询应用程序日志中事件级别为“警告”的日志信息，并导出保存在D:\kaoshi_3\2.2.5\app_warning.txt文件中。

事件查看器中 → Windows日志 → 应用程序 → 右键应用程序 → 筛选当前日志
在事件查看器中，筛选应用程序日志中事件级别为“警告”的日志，应用程序日志中事件级别为“警告”的日志,全选保存为D:\kaoshi_3\2.2.5\app_warning.txt。

---