**1. 干什么** 事件日志由 eventlog 服务管理 evtx 文件，记录登录、特权使用、进程创建与脚本执行等安全事件，查询经 EventLog 系列 API 完成。 **2. 谁在调** * 用户态主体：事件查看器、wevtutil、Get-WinEvent。 * 系统层封装：EvtQuery/EvtNext、EventLog API。 * 服务主体：eventlog 服务读取 winevt\Logs 下 evtx 文件。 **3. 做什么业务** 经典频道中 Security 记录安全事件，System 记录服务与驱动启停，Application 记录应用报错。PowerShell 脚本写入 Operational 频道。关键事件号：4624 登录成功、4625 登录失败、4672 特权使用、4688 进程创建、4104 PowerShell 脚本块。4624 的登录类型字段区分方式：类型 2 本地交互、类型 3 网络（net use、SMB 横向）、类型 10 RDP。日志实体位于`C:\Windows\System32\winevt\Logs`。 *