Точный источник
1102 означает очистку Security данного компьютера. Его Provider — Microsoft-Windows-Eventlog, а не Security-Auditing; событие версии 0 использует UserData/LogFileCleared с отдельным пространством имён. Сначала сохраните исходный XML и установите узел, время и происхождение копии. Не объясняйте отсутствие этой записи настройкой Audit Logon без проверки фактического пути регистрации и сохранности журнала.
Отбор и UserData
Get-WinEvent задаёт точный Eventlog/Security, 1102 и UTC-окно. В отличие от большинства соседних карточек, XPath читает дочерние элементы LogFileCleared, а не EventData/Data. Добавлены оба namespace. Пустой EventData-разбор не означает отсутствия Subject. Сохраняйте исходный SID, имя, домен и LogonId рядом с RecordId и компьютером; Message для определения схемы не требуется.
Пример
Subject operator.demo в иллюстрации обозначает учётный контекст очистки, а не автоматически установленного человека. SubjectLogonId 0x4312 подходит для проверки связанного сеанса того же узла. Учебная запись не доказывает, что архивы, пересланные события или копии на сборщике исчезли. Время и SID вымышлены; это сокращённый XML документированной структуры, а не факт очистки пользовательского устройства.
Оценка контекста
Очистка требует объяснения: сопоставьте её с согласованным обслуживанием, действиями администратора и работой средств управления. Само 1102 не доказывает сокрытие следов атакующим. Отдельно проверьте, какая часть временной истории доступна до и после, и не смешивайте удаление записей с обычной ротацией или пропажей доставки. Для технической identity запросите журнал системы, инициировавшей обслуживание.
Следующий шаг
Сопоставьте LogonId с 4624 того же компьютера, если запись сохранилась или была переслана. Проверьте независимые копии и доступные события процесса вокруг момента очистки. Не объединяйте похожий сеанс другого узла. Итог фиксирует факт очистки, технический субъект, одобренное основание либо его отсутствие, сохранившиеся источники и предел восстановления истории. Отдельной процедуры очистки эта карточка не предлагает.
Если записи нет
Проверьте Provider, правильный компьютер, UTC и источник копии. Ошибка фильтра по Security-Auditing исключит 1102, даже когда оно присутствует. Уточните ротацию, последующие очистки и сохранение в сборщике. Отсутствие 1102 не доказывает, что журнал не очищался: сама доступная история может быть неполной. Запрос должен называть период, ожидаемое действие и проверенные хранилища.