Log Parser Lizard是基于Log Parser的图形化工具
界面友好，早就听过该软件的大名，一直没用过，今天要通过分析日志找到删除某个文件的人，当然前提是你的文件要开启对象访问设置（文件夹属性-安全-高级-审核-添加对象访问设置，详细请google吧）
方法如下，先安装好Log Parser Lizard，事件类型选择Windows Event Log，在最下方的Query中写入如下查询语句
select * from D:\yourname.evt where EventID=560 and Strings like '%关键字%' and Message like '%DELETE%'
D:\yourname.evt是你的日志文件，或者直接输入System则为读取本机系统日志
EventID=560是限定事件ID，560指的文件特权操作，当然包含了删除动作，呵呵
Strings like ‘%关键字%’ 设置文件或文件夹关键字过滤，这里输入被删文件文件名就可以了
Message like ‘%DELETE%’ 这个限定了文件特权动作为删除动作
按此方式就可以分析出来限定关键字文件的删除日志，可以查到哪个IP和帐号删除的文件
