保留事件日志

31天似乎不合理，但完全取决于logging的内容以及日志的潜在用途。 事件日志的大小完全取决于logging了多less事件。 您可以在31天内修复事件日志保留，但您需要考虑：

• 即使您对事件日志大小进行“基准testing”，并知道它通常会保持31天的可接受大小，那么exception的情况会导致它的大小增长？ 有机会也是你想要去看事件日志的时候。
• 如果将事件日志保留时间设置为固定的时间段，那么您可以利用漏洞进行攻击：攻击者只需确定在事件日志中进行input的任何方法，然后重复该操作很多次，您的服务器上的可用空间。 一个不太可能发生的情况，但是突出了当您select特定日志保留策略时“有趣”

您可能希望将事件日志转发configuration到具有大量备用磁盘空间的中央服务器。

**如果您select“在x事件之后旋转”，则会发生更有趣的事情。 在这种情况下，攻击者可以对服务器做任何他们喜欢的事情，然后只是垃圾邮件事件日志来刷新他们的行动logging，并清除他们的轨道。

说实话，事件查看器是微软产品中最薄弱的一个。 安装第三方事件日志处理程序。 我在自己的机器上使用Splunk（如果您logging的是less量数据，那么可以免费下载，但随着您的增长而增加成本）。 它不仅读取事件日志，而且还读取WMI，Perfmon和SQL Server日志等内容。