### 反取证-1 日志清理与伪造 #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0005 防御规避。 - 对应技术族：T1070.001 清除 Windows 事件日志、T1070.002 清除 Linux 日志、T1562 削弱防御。 - 定位：销毁或误导本机证据链，间接延长驻留，影响溯源，高危。 #### 2. 前置条件 - 已获本机管理员/System 权限，可停日志服务或写日志文件。 - 知道日志落点与是否已集中上报。 - 理解本机清理对已采集到 SIEM 的副本无效。 #### 3. 技术原理 - Windows 事件日志（EVTX）由事件日志服务维护，事件经 `EventWrite` 类接口写入、服务持有 EVTX 文件句柄。清理路径一是停服务后清空/删除 EVTX，二是经日志 API 清除通道，清除动作自身会产生事件 ID 1102（日志被清空）。 - Linux 侧 `syslog/rsyslog` 守护进程经管道把各程序日志写入文件。清理即停守护进程、截断文件或删除。 - 伪造是向日志流插入虚假事件，掩盖真实序列。但已集中转发的副