windows日志统计分析

letum

从最初版（没版本号）更新到V1.2的说明：
看到回复里有朋友说想用来分析蓝屏事件，于是我增加了一些预设场景，可以在预设中选择分析：
系统启动/关机分析，看到6006就是正常关机，看到41八成是意外断电重启，看到1074就是用户主动重启……
蓝屏/异常重启分析，看到41八成是意外，看到1001就是蓝屏……
登录/注销分析……
登录失败分析，这个就是我最常用的，分析爆破我远程桌面的ip用的，程序运行后默认就是这个。
服务崩溃分析……
服务安装监控……
驱动加载失败分析……
windows更新失败分析……
应用程序崩溃/挂起分析……
磁盘错误分析……
硬件错误分析……
电源异常分析……
当然，除了这些预设场景之外，可以手动填写后面的日志类型、关键字、事件ID等等进行想要的分析。点预设场景也是帮用户输入后面的这些字段而已。
还有就是更换了程序图标，之前的图标是网上找的，可能会有版权，这次我换了一个自己画的图标，虽然不如之前的好看，但起码是我自己画的了。




以下是最初版本的说明：
我把电脑的远程桌面端口3389映射到路由器的一个冷门端口，从而在外网使用windows的远程桌面访问家里的电脑。
有天看系统日志，冷门端口竟然也被人暴力尝试远程桌面连接。
虽然我的用户名不是administrator，暴力尝试的人使用administartor永远不会成功，但每天日志里都会增加成千上万条连接失败的记录，感觉很烦人。
于是我在策略编辑器里ban掉这些ip，ban掉一个他们就自动换一个，那我干脆ban他们的c类网段，总算清净些了。
但过些日子，又有其他网段的来扫我的远程桌面。
于是我就写了一个小程序，用来分析日志里远程登录审核失败的那些ip。统计一下每个ip的登录次数，列出它们的访问时间，便于我去ban掉。
这个程序纯属自编自用，后来发现我使用的频率很高，所以就给大家分享一下。有在公网开了远程桌面的朋友可以拿去使用。
程序是C#写的，打包成单文件，因为里面包含了.net框架，所以体积稍大些。
读取系统日志需要管理员权限，所以运行的时候会弹出权限申请窗口。
界面截图：


下载地址：
https://pan.baidu.com/s/1nkogeLMhwlHtc5OKvRwfNw?pwd=letu 提取码: letu


有朋友回复说在server2012里不显示对方的IP。我试了一下在server2025下是和windows11的效果一样的，能够显示IP。

letum

阿国网络 发表于 2026-9-17 21:44
测试了一下只有时间显示，不显示登录服务器的网络地址，测试的是windows server 2012 R2 Dat 系统

我试了一下server 2025，是正常的，能显示登录服务器失败者的ip地址。可能是server2012和server2025的日志系统有区别？
因为我写这个小程序的目的是拿来自用的，我的电脑不是server的操作系统。
在我的windows11pro上使用时运行正常。

594046245

公网远程桌面安全配置
1.禁用administrator账号。新建16位带大小写数字符号密码的账号。
2.组策略设置密码错误锁定（gpedit.msc-计算机配置-Windows设置-安全设置-账户策略-账户锁定策略。允许帐户锁定：启用；锁定时间：2分钟；锁定阈值：1次；复位计数器：2分钟）。
3.修改远程桌面的端口号。
4.设置防火墙。只允许白名单IP访问。另起一个应用，可以通过接口支持动态加白名单IP。

阿国网络

测试了一下只有时间显示，不显示登录服务器的网络地址，测试的是windows server 2012 R2 Dat 系统

windy8848

期待楼主开源，mark一下

restartxie

如果程序能加上自动筛选出高危的ip然后自动ban掉那就可以解放双手了

Chenruicheng

收藏起来，以便不时之需

帽子是绿色的

只要是开了远程登录，就会有人来敲门，能不能进门就看自己能不能守住，哎。。

aero

letum 发表于 2026-9-18 12:08
因为我写这个小程序的目的是拿来自用的，我的电脑不是server的操作系统，没有办法测试。
只在我的window ...

我的也是server，说实话vps如果使用win多数还是server要多一些，有机会看看支持不

letum

594046245 发表于 2026-9-18 16:17
公网远程桌面安全配置
1.禁用administrator账号。新建16位带大小写数字符号密码的账号。
2.组策略设置密 ...

组策略里：允许帐户锁定：启用；锁定时间：2分钟；锁定阈值：1次；复位计数器：2分钟。
我试过了，对远程来的请求无效 ，只对本地登录有效。