网络日志记录的基本作用
很多人装完系统后只顾着装软件、调设置，却忽略了日志这个“后台记录员”。其实，操作系统和网络服务每天都在自动生成大量日志，比如你什么时候连了哪个Wi-Fi，哪个程序访问了网络，甚至有没有陌生IP尝试连接你的电脑，这些信息都可能藏在日志里。
以Windows为例，打开“事件查看器”，在“Windows 日志”下的“安全”和“系统”分类中，就能看到各种操作记录。而Linux用户更熟悉的是/var/log/目录下的messages、secure或syslog文件。这些不是乱码，而是系统在“写日记”。
入侵发生时，日志能做什么
假设你某天发现电脑变慢，某个不知名的进程占着网速，这时候翻翻日志可能会有意外收获。比如，在Linux的/var/log/auth.log中，如果看到大量类似这样的记录：
Failed password for root from 192.168.100.50 port 22 ssh2而且时间密集，那基本可以判断有人在暴力破解你的SSH登录。哪怕攻击没成功，这些IP地址和时间点也能帮你拉黑来源，或者调整防火墙规则。
再比如，Windows服务器上突然出现一个陌生账户被创建，事件ID为4720的日志就会被触发。如果你设置了日志转发或定期检查，就能第一时间察觉异常。
让日志更有用的小技巧
默认情况下，很多系统只会保留几天日志，老的会被自动覆盖。建议手动调整策略：在Windows中右键日志名称->属性，把最大大小调到1GB以上，并选择“按需手动清除”。Linux下可以用logrotate配置归档压缩，避免磁盘爆满。
另外，别等到出事才去看日志。平时可以简单写个脚本，每天早上发一封摘要邮件。比如用cron定时执行：
0 7 * * * /usr/local/bin/log_summary.sh | mail -s "今日日志摘要" admin@localhost脚本内容可以统计昨天的登录失败次数、新增服务、异常端口监听等。小投入，大回报。
结合工具提升追踪效率
单台设备的日志有限，但如果家里有多台设备，或者你是小型企业管理员，可以搭个简易SIEM（安全信息与事件管理）系统。比如用开源工具Graylog或ELK（Elasticsearch+Logstash+Kibana），把所有设备日志集中收集。
一旦某台设备被攻破，你可以通过时间线比对其他设备的登录记录，快速判断攻击是否横向扩散。比如攻击者用偷来的密码尝试登录其他主机，这类行为在汇总日志里会非常明显。
哪怕是普通用户，也可以用Sysmon（Windows系统监视器）增强日志细节。它能记录每个进程的启动来源、网络连接对应的程序路径，甚至DLL加载行为。这些信息在分析恶意软件活动时特别有用。