日志保护
√·Windows日志的移动
打开"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\"
Application 子项：应用程序日志
Security 子项：安全日志
System 子项：系统日志
分别更改子项的File键值，再把System32\config目录下的AppEvent.Evt、SecEvent.Evt、SysEvent.Evt复制到目标文件夹，重启。
√·Windows日志的保护
1、移动日志后的文件夹→属性→安全→高级→去掉"允许父系的继承权限……"→复制→确定
2、保留System账户和User组，System账户保留除完全控制和修改之外的权限，User组仅保留只读权限
3、AppEvent.Evt、SysEvent.Evt保留Administrator、System账户和User组，Administrator、System账户保留除完全控制和修改之外的权 限，User组仅保留只读权限；
DnsEvent.Evt、SecEvent.Evt保留System账户和User组，System账户保留除完全控制和修改之外的权限，User组仅保留只读权限
