TL;DR
- 윈도우 운영체제를 재설치하지 않고 계정만 정리해 PC를 인수인계할 경우,
C:\Windows\System32\winevt\Logs경로에 과거 로그인 이력과 USB 장치 연결 기록이 고스란히 남습니다. - 이벤트 뷰어 GUI에서 로그를 수동으로 지우면 수백 개 채널을 일일이 처리하기 어려우므로, 윈도우 내장 명령줄 도구인
wevtutil을 사용해 전체 로그 채널을 자동 일괄 소거해야 합니다. - 시스템 진단 추적 파일(
.etl)은 이벤트 로그와 별도 경로에 저장되므로, Windows 진단 캐시 디렉터리 정리까지 함께 마쳐야 포렌식 감사 관점에서 안전합니다.
핵심 개념: 이벤트 로그와 진단 추적 파일의 저장 구조
윈도우 시스템은 사용자가 수행한 작업과 시스템 동작 내역을 구조화된 바이너리 XML 형식(.evtx)으로 기록합니다. 이 로그 파일들은 C:\Windows\System32\winevt\Logs 디렉터리에 상주하며, 대표적으로 다음과 같은 흔적을 보존합니다.
- 보안 로그 (Security.evtx): 이벤트 ID 4624(로그온 성공), 4625(로그온 실패), 4672(특수 권한 할당) 등 계정 활동 내역과 관리자 권한 실행 기록이 기록됩니다. 감사 정책에 따라 프로세스 생성(4688) 내역까지 보관됩니다.
- 시스템 및 장치 로그 (System.evtx 등): 이벤트 ID 20001, 20003(USB PnP 장치 드라이버 설치)을 통해 과거에 연결되었던 외장 하드, USB 메모리의 시리얼 번호와 모델명이 남습니다.
- 이벤트 추적 로그 (ETL 파일): Windows Performance Recorder(WPR)나 시스템 진단 도구가 생성하는
.etl파일은 메모리 및 I/O 동작을 실시간 기록합니다. 주로C:\Windows\System32\LogFiles\WMI및C:\ProgramData\Microsoft\Diagnosis하위에 축적됩니다.
이 파일들은 Windows Event Log 서비스(EventLog)가 실행 중인 상태에서는 파일 핸들이 잠겨 있어 일반 탐색기 삭제나 del 명령으로는 지워지지 않습니다. 따라서 윈도우 표준 관리 도구인 wevtutil.exe를 통해 서비스 엔진 레벨에서 클리어를 호출하거나, 서비스를 제어해 물리 파일을 정리해야 합니다.
단계별 실행 가이드
모든 과정은 관리자 권한으로 실행된 명령 프롬프트(CMD) 또는 PowerShell 환경에서 진행합니다. 실행 전 반드시 필요한 시스템 정보나 라이선스 키를 별도 백업했는지 확인하세요.
1단계: wevtutil을 이용한 전체 이벤트 로그 일괄 초기화
윈도우에는 기본적으로 수백 개의 이벤트 로그 채널(클래식 로그 + 애플리케이션 및 서비스 로그)이 활성화되어 있습니다. 관리자 권한 PowerShell을 실행한 후 아래 명령어를 입력하여 등록된 모든 채널의 로그를 순차적으로 비웁니다.
Get-WinEvent -ListLog * -Force | ForEach-Object {
try {
[System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession.ClearLog($_.LogName)
} catch {}
}
또는 관리자 권한 CMD에서 윈도우 표준 내장 도구인 wevtutil을 직접 루프 실행할 수 있습니다.
for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1"
wevtutil el: 활성화된 모든 이벤트 로그(Event Log)의 목록을 반환합니다.wevtutil cl "[로그이름]": 지정한 로그의 레코드를 즉시 소거(Clear)합니다.
이 명령을 수행하면 Security.evtx, System.evtx, Application.evtx를 포함한 모든 채널의 기존 레코드가 0바이트 상태로 초기화되며, 초기화되었다는 단일 시스템 이벤트(보안 로그의 경우 Event ID 1102)만 새로 기록됩니다.
2단계: 시스템 진단 및 추적 파일(.etl) 제거
이벤트 로그 외에 백그라운드에서 유지되는 커널 추적 파일과 진단 데이터를 수동으로 정리합니다. CMD를 관리자 권한으로 열고 다음 디렉터리의 임시 추적 파일을 비웁니다.
:: WMI 진단 및 성능 추적 로그 정리
del /f /q /s C:\Windows\System32\LogFiles\WMI\*.etl
del /f /q /s C:\Windows\System32\LogFiles\WMI\RtBackup\*.etl
:: 윈도우 진단 데이터 캐시 정리
del /f /q /s C:\ProgramData\Microsoft\Diagnosis\ETLLogs\*.etl
참고: RtBackup 폴더 내부의 일부 파일은 시스템 커널 세션이 점유 중일 수 있습니다. 삭제되지 않는 파일은 안전 모드로 부팅하여 명령을 수행하면 정상적으로 소거됩니다.
3단계: 작업 스케줄러 기록 및 잔류 캐시 확인
과거 사내 유지보수 스크립트나 배치 파일이 동작한 이력을 지우려면 작업 스케줄러 로그 채널도 비워져 있는지 확인해야 합니다. 1단계의 명령어가 정상 수행되었다면 Microsoft-Windows-TaskScheduler/Operational 채널 역시 함께 소거됩니다.
작업 완료 후 이벤트 뷰어(eventvwr.msc)를 실행하여 [Windows 로그] -> [보안] 항목에 기존 감사 목록이 사라지고 로그 삭제 이벤트만 남아 있는지 육안으로 최종 검증합니다.
비교/체크리스트
단순히 탐색기에서 파일을 지우려 할 때와 전용 도구를 사용할 때의 차이점 및 잔여 수준입니다.
| 소거 방식 | 대상 파일 | 파일 락(Lock) 해제 여부 | 포렌식 잔여 수준 | 적합한 상황 |
|---|---|---|---|---|
| 이벤트 뷰어 GUI 수동 삭제 | 개별 선택된 evtx | 서비스 연동으로 삭제 가능 | 미선택 채널 수백 개 잔류 | 특정 채널 점검 시 |
| 탐색기 단순 파일 삭제 | C:...\winevt\Logs | 불가 (액세스 거부 오류) | 파일 삭제 자체가 실패함 | 권장하지 않음 |
| wevtutil 일괄 소거 스크립트 | 시스템 내 등록된 전 채널 | 내부 API 호출로 안전 소거 | 메타데이터 초기화 완료 | OS 유지 PC 인수인계 |
| 드라이브 제로필 / Sanitize | 저장장치 전체 섹터 | 디스크 레벨 초기화 | 모든 파일 및 OS 영구 파기 | PC 최종 폐기 / 완전 매각 |
실무 주의사항
이벤트 로그를 정리할 때 실무 담당자가 가장 자주 마주치는 문제는 '파일이 사용 중이어서 삭제할 수 없다'는 메시지입니다.
EventLog서비스(Windows Event Log)는 윈도우 핵심 커널 종속 서비스이기 때문에, 서비스 관리자(services.msc)에서 일반적인 방식으로 '중지' 버튼이 비활성화되어 있습니다.- 따라서 서비스 강제 종료를 시도하기보다 마이크로소프트 공식 API를 호출하는
wevtutil cl을 사용하는 것이 운영체제 파일 시스템 손상을 방지하는 정석적인 접근입니다. - 사내 감사 규정상 로그 백업이 의무화되어 있는 단말기라면, 소거 전
wevtutil epl Security C:\Backup\Security_backup.evtx명령을 통해 사내 중앙 저장소로 로그를 안전하게 내보낸 후 클리어 작업을 진행해야 규정 위반을 피할 수 있습니다.
자주 묻는 질문(FAQ)
Q1. wevtutil로 로그를 지우면 '로그가 지워졌다'는 흔적조차 남지 않나요?
아닙니다. 윈도우 보안 로그를 지우는 행위 자체가 감사 대상이므로, 소거 직후 이벤트 ID 1102("감사 로그가 지워졌습니다")라는 단 1건의 새로운 로그가 즉시 생성됩니다. 과거의 상세 행적(로그인 시간, 실행 프로세스, USB 장치 연결 내역)은 모두 영구 제거되지만, 로그를 비운 시점 자체는 기록됩니다.
Q2. 윈도우 설정의 'PC 초기화(이 PC 초기화)'를 돌려도 evtx 파일이 남나요?
'모든 항목 제거'를 선택하고 PC 초기화를 진행하면 윈도우 시스템 파티션이 재구성되면서 기존의 winevt\Logs 내역도 완전히 사라집니다. 그러나 Windows를 재설치하지 않고 계정만 분리해 인수인계해야 하는 업무 환경에서는 PC 초기화 대신 본문의 wevtutil 및 ETL 소거 절차를 적용해야 합니다.
Q3. ETL 파일을 삭제하면 윈도우 부팅이나 프로그램 실행에 이상이 생기나요?
문제가 발생하지 않습니다. ETL 파일은 진단 및 성능 모니터링을 위한 임시 추적 데이터이므로, 삭제되더라도 시스템이 필요할 때 새로운 ETL 파일을 자동으로 생성합니다.
용어 설명
- wevtutil: Windows Event Utility의 약어로, 윈도우 이벤트 로그 및 게시자를 설치, 쿼리, 내보내기, 소거할 수 있는 공식 명령줄 관리 도구입니다.
- EVTX: Windows Vista 이후 버전부터 채택된 윈도우 이벤트 로그 바이너리 XML 규격 파일 확장자입니다.
- ETL (Event Trace Log): ETW(Event Tracing for Windows) 프레임워크를 통해 커널이나 애플리케이션 수준의 세부 이벤트를 고속으로 기록하는 바이너리 추적 파일입니다.
마무리
운영체제를 유지한 채 타 부서로 PC를 양도하거나 기기를 인수인계할 때는 문서 파일 삭제뿐 아니라 백그라운드에 누적된 시스템 감사 추적 기록까지 비워야 사내 보안 규정을 온전히 준수할 수 있습니다. 반면, 기기를 외부에 완전히 매각하거나 수명이 다해 폐기하는 상황이라면 시스템 로그 소거에 그치지 않고 저장장치 전체에 대한 하드웨어 수준의 안전 소거가 필요합니다.
데이터 정리가 끝났다면 이제 가치를 확인할 차례입니다. 무료 견적으로 이어가 보세요.