Windows 事件日志是否容易被更改或伪造？

Question

我想知道是否有办法将带有过去日期的虚假事件注入事件日志。如果可以，如何实现，如何防止这种情况发生？

Answer 1

Windows 事件日志是一种与其他数据结构一样的数据结构，因此使用正确的工具，可以随意对其进行操作。（不使用签名等，它们毫无用处，因为如果计算机可以写入日志，它也可以写入虚假日志。）

然而，事件日志格式是一种专有的二进制文件格式（见文档)，而且我不知道有哪个应用程序可以允许轻松编辑。编辑它至少需要一些编程。

唯一的保护措施是将事件报告给单独的安全服务器，并在那里存储或签名。