boot_time 문제

System 로그의 Event ID 6005:

• 의미: Windows 시스템의 시작을 알리는 이벤트입니다.
• 상세 설명: 이 이벤트는 Windows 운영 체제가 부팅될 때 시스템 로그 서비스가 시작되었음을 기록합니다. 보통 시스템이 정상적으로 부팅되었는지 확인하기 위해 사용되며, “이벤트 로그 서비스가 시작되었습니다”라는 메시지와 함께 나타납니다.
• 용도: 주로 시스템의 시작 시간과 운영 상태를 파악할 때 사용됩니다.

Security 로그의 Event ID 4608:

• 의미: Windows 시스템의 보안 로그 초기화를 알리는 이벤트입니다.
• 상세 설명: 시스템 부팅 후 보안 설정이 초기화되는 시점을 기록합니다. 이는 보안 관련 이벤트 로깅이 시작된다는 의미로, 시스템이 부팅되거나 재시작될 때 나타납니다.
• 용도: 보안 측면에서 시스템이 재시작된 시점을 파악하는 데 유용하며, 보안 로그 모니터링의 기점으로 사용될 수 있습니다.

 

경로는 /Windows/System32/winvet/Logs에서 Security.evtx 파일을 추출한다.

 

윈도우 시작을 알려주는 이벤트 ID 4068만 볼 수 있도록 정렬 후 날짜 및 시간을 확인한다.