Win2008系统审核功能的妙用图文介绍
发布时间:2023-12-24 10:03:10
这篇文章主要介绍了Win2008系统审核功能的妙用,需要的朋友可以参考下
启用配置审核功能
Windows Server 2008系统的审核功能在默认状态下并没有启用,我们必须针对特定系统事件来启用、配置它们的审核功能,这样一来该功能才会对相同类型的系统事件进行监视、记录,网络管理员日后只要打开对应系统的日志记录就能查看到审核功能的监视结果了。审核功能的应用范围很广泛,不但可以对服务器系统中的一些操作行为进行跟踪、监视,而且还能依照服务器系统的运行状态对运行故障进行快速排除。当然,需要提醒各位朋友的是,审核功能的启用往往要消耗服务器系统的一些宝贵资源,并会造成服务器系统的运行性能下降,这是因为Windows Server 2008系统必须腾出一部分空间资源来保存审核功能的监视、记录结果。为此,在服务器系统空间资源有限的情况下,我们应该谨慎使用审核功能,确保该功能只对一些特别重要的操作进行监视、记录。
在启用、配置Windows Server 2008系统的审核功能时,我们可以先以系统超级权限登录进入对应系统,打开该系统桌面中的“开始”菜单,从中依次点选“设置”、“控制面板”命令,在弹出的系统控制面板窗口中依次单击“系统和维护”、“管理工具”图标,在其后出现的管理工具列表窗口中,找到“本地安全策略”图标,并用鼠标双击该图标,打开本地安全策略控制台窗口。
其次在目标控制台窗口的左侧显示窗格中,依次展开“安全设置”/“本地策略”/“审核策略”分支选项,在对应“审核策略”分支选项的右侧显示窗格中,我们会发现Windows Server 2008系统包含九项审核策略,也就是说服务器系统可以允许对九大类操作进行跟踪、记录,如图1所示。
图1 本地安全策略
审核进程跟踪策略,是专门用来对服务器系统的后台程序运行状态进行跟踪记录的,例如服务器系统后台突然运行或关闭了什么程序,handle句柄是否进行了文件复制或系统资源的访问等操作,审核功能都可以对它们进行跟踪、记录,并将监视、记录的内容自动保存到对应系统的日志文件中。
审核帐户管理策略,是专门用来跟踪、监视服务器系统登录账号的修改、删除、添加操作的,任何添加用户账号操作、删除用户账号操作、修改用户账号操作,都会被审核功能自动记录下来。
审核特权使用策略,是专门用来跟踪、监视用户在服务器系统运行过程中执行除注销操作、登录操作以外的其他特权操作的,任何对服务器系统运行安全有影响的一些特权操作都会被审核功能记录保存到系统的安全日志中,网络管理员根据日志内容就容易找到影响服务器运行安全的一些蛛丝马迹。
启用不同的审核策略,Windows Server 2008系统就会对不同类型的操作进行跟踪、记录,网络管理员应该依照自己的安全要求以及服务器系统的性能配置,来启用适合自己的审核策略,而不要盲目地启用所有审核策略,那样一来审核功能的作用反而得不到充分发挥。
图2 审核登陆事件属性
比方说,要是我们想对服务器系统的登录状态进行跟踪、监视,以便确认局域网中是否存在非法登录行为时,那我们就可以直接用鼠标双击这里的审核登录事件策略,打开对应策略的选项设置对话框(如图2所示),选中其中的“成功”和“失败”选项,再单击“确定”按钮,如此一来Windows Server 2008系统日后就会自动对本地服务器系统的所有系统登录操作进行跟踪、记录,无论是登录服务器成功的操作还是登录服务器失败的操作,我们都能通过事件查看器找到对应的操作记录,仔细分析这些登录操作的记录我们就能发现本地服务器中是否真的存在非法登录甚至非法入侵行为。
查看审核功能记录
启用、配置好合适的审核策略后,Windows Server 2008系统就会自动对特定类型的操作进行跟踪、记录,并将记录内容保存到对应系统的日志文件中了,以后网络管理员可以根据日志内容,寻找服务器系统中是否存在安全威胁。在查看审核功能记录下来的日志内容时,我们必须借助事件查看器功能来完成,下面就是查看审核功能记录的具体操作步骤:
首先以超级管理员权限进入Windows Server 2008系统,依次单击该系统桌面中的“开始”/“程序”/“管理工具”/“服务器管理器”命令,打开对应系统的服务器管理器控制台窗口;
其次在该控制台窗口的左侧显示区域中,将鼠标定位于“诊断”分支选项,并从该分支选项下面依次点选“事件查看器”/“Windows日志”子项,在目标子项下面我们会看到“应用程序”、“安全”、“安装程序”、“系统”、“转发事件”这五个类别的事件记录,如图3所示;
图3 服务器管理器
用鼠标选中某个类别选项时,我们就能从图3界面的中间显示区域中清楚地看到对应类别下的所有事件记录,再用鼠标双击指定的记录选项时,就能打开目标事件记录的详细信息界面,在该界面中我们就可以详细查看到目标事件的来源、具体的事件内容、事件ID以及其他相关信息等。
发现重要的事件内容时,我们还可以对其执行一些操作;比方说,为了日后有空时能对重要事件内容进行仔细分析,我们可以将重要事件内容先保存起来,以防止清理日志时被意外删除掉,在保存重要事件内容时,我们只要用鼠标右键单击目标事件内容,从弹出的快捷菜单中执行“将事件另存为”命令,之后设置好保存路径以及具体的文件名称,再单击“保存”按钮就可以了,日后只需要再执行右键菜单中的“打开保存的日志”命令,就能将以前保存好的日志文件调用出来了。要是发现服务器系统中保存的事件内容太多时,我们应该定期执行右键菜单中的“清除日志”命令来清空日志记录,以便腾出更多的宝贵空间资源。在日志记录较多的情况下,要想快速寻找自己想要的事件记录是一件不容易的事情,此时我们不妨执行“筛选当前日志”命令来对日志记录进行筛选。
实战应用审核功能
审核功能在现实环境中对Windows Server 2008系统尤为重要,因为服务器系统在局域网环境中很容易受到攻击,网络管理员可以利用审核功能来对各种攻击行为进行跟踪监控,遇到有潜在安全威胁的事件发生时,我们可以想方设法地将审核功能监控到的事件内容通知给网络管理员,网络管理员就能立即查明事件原因,并对症下药地解决问题,从而保障服务器系统不受非法攻击了。
例如,一些木马程序常常会在服务器系统中偷偷创建用户账号,以便窃取服务器系统的超级管理员权限,此时我们可以通过用户账号监控来确定服务器系统中究竟是否存在非法用户账号,然后进一步确定究竟是哪一个用户账号是非法账号。需要说明的是,要想让Windows Server 2008系统自动将非法账号创建的事件通知给网络管理员时,必须确保对应系统的Task Scheduler服务处于正常的运行状态。
首先依次单击Windows Server 2008系统桌面中的“开始”/“运行”命令,在弹出的系统运行对话框中,执行字符串命令“secpol.msc”,打开服务器系统的本地安全策略控制台窗口;
图4 审核帐户管理
其次在该控制台窗口的左侧显示区域,依次展开“安全设置”、“本地策略”、“审核策略”分支选项,在对应“审核策略”分支选项的右侧显示区域中,双击“审核账户管理”策略选项,打开如图4所示的策略选项设置对话框,选中“成功”和“失败”选项,再单击“确定”按钮关闭策略选项设置对话框,这样一来无论用户账户创建成功还是创建失败,Windows Server 2008系统都会自动记录下用户账号创建事件;
为了把用户账号创建事件内容自动通知给网络管理员,我们还需要针对该事件附加执行自动报警的任务计划。在附加自动报警任务时,我们先依次单击Windows Server 2008系统桌面中的“开始”/“程序”/“管理工具”/“服务器管理器”命令,打开对应系统的服务器管理器控制台窗口;在该控制台窗口的左侧区域依次点选“诊断”/“事件查看器”/“Windows日志”/“系统”子项,再从“系统”子项下面找到创建用户账号事件,如果找不到该事件内容时,我们还需要采用手工方法随意在服务器系统中创建一个用户账号,这样一来用户账号创建事件就会出现在事件查看器中了。
用鼠标右键单击用户账号创建事件,从弹出的快捷菜单中执行“将任务附加到此事件”命令,打开任务计划添加向导对话框,之后设置好新任务的名称,例如这里我们将新任务取名为“自动报警用户账号创建情况”,当屏幕上出现如图5所示的设置对话框时,选中“显示消息”选项,再设置好需要报警的标题与内容,在这里我们将标题设置为“自动报警用户账号创建情况”,将报警内容设置为“服务器系统中可能有非法账号被创建,请网络管理员立即处理相关事件!”最后单击“完成”按钮,这样一来Windows Server 2008系统日后就能把审核功能记录下来的用户账号创建情况自动报告给网络管理员了。
图5 创建基本任务向导
当我们尝试通过远程桌面方式在服务器系统中随意创建一个用户账号时,Windows Server 2008系统屏幕上立即出现了一个自动报警提示窗口,告诉网络管理员说“服务器系统中可能有非法账号被创建,请网络管理员立即处理相关事件!”,这就意味着此时有人在服务器系统中偷偷创建用户账号了,网络管理员根据这个自动报警提示信息,就能在第一时间采取措施来解决相关问题,从而保障Windows Server 2008服务器系统不受非法攻击了。
猜你喜欢
- 你了解mac电脑多个任务桌面功能?想知道同样是mac电脑别人是如何使用更流畅吗?mac独树一帜的多任务桌面功能非常强大,可以根据自己的需求指
- 相信很多玩家在玩游戏的时候,都遇到过窗口闪屏和抖屏的情况,让人感觉很不舒服。这是什么原因呢?造成这种情况的原因是由于您的系统GHOST版本或
- 熟悉电脑的小伙伴就会知道不管电脑遇到什么问题都可以通过重装系统来解决,但是有用户遇到了重装系统也无法解决的事情,重装系统之后桌面乱码了,那么
- 使用 Word 应用一点文本格式化操作或图片处理,也可以使简单的文档变得比只使用纯文本更具吸引力。但是在使用word时我们也会经常遇到一些问
- Excel中经常需要使用到if函数进行判断数据是否符合条件,if函数具体该如何进行使用呢?接下来是小编为大家带来的excel表格公式if函数
- 很多朋友安装win10之后发现win10无法调节亮度,导致屏幕亮度过暗或是过亮,那么Win10怎么调节屏幕亮度?其实Win10屏幕亮度方法很
- 如何利用excel的照相机功能快速复制表格内容,excel的照相机功能很少有人用起,如果有效利用可以在日常工作中节省很多时间,那么如何利用e
- WPS怎么给生僻字头上一体化注音在Word或WPS布局中,使用拼音指南工具更方便。在WPS中选择参考文本后,单击“开始文本菜单拼音指南”。设
- 在excel表格中,一些单元格只能输入重复或固定的几个数据时,就需要用到下拉选项了,具体应该如何设置出来呢?下面随小编一起来看看吧。exce
- 软件无法正常运行,可能就是兼容性问题了,右键软件选择以兼容运行模式,发现没有“以兼容方式运行”的选项,哪去了,这是本节为大家介绍的如何启用“
- 今天小编为大家介绍在WPS演示中备注添加的两招:方法一:首先打开wps演示,在菜单中选择“幻灯片”下的“演讲者备注”按钮,如下图所示:演讲者
- 查找和替换是非常常用的一个功能。可以帮助我们计算指定字符在文档中的数量、标注指定字符、批量修改文档中的内容、还可以快速定位到我们想要的内容。
- 一直以来,Xcode都是很多 Mac 与 iOS 开发者的首选。如果你想为 Mac、iPhone 或 iPad 制作一款 App,Xcode
- Excel在处理数据功能上可谓强大。我们工作中经常会用到对字段内容进行判断,所以会用到if这个判断神器。今天,小编就教大家在Excel中进行
- 关于下一个慢速版的推送时间,Insider项目负责人在推特上表示:我们当前正在准备,下个Win10预览版慢速更新有望在下周早些时候到来,版本
- word2003文档的图片裁剪功能现在还并不完善,只可以裁定有规则的图像例如正方形、圆形、长方形等常规图形,那朋友们会问到如何裁剪不规侧图形
- 小伙伴们购买安装了新显卡后,需要给电脑安装好显卡驱动才能正常运行显卡,如果原来的Amd显卡驱动坏了的话也需要重新下载安装驱动才能运行,那么有
- 我们使用WORD进行文字排版的时候,有时候需要插入一张电脑上的图片,那么在Word文档中怎么插入自己喜欢的图片?下面小编给大家分享Word文
- wps软件中用户可以编辑不同类型的文件,给自己带来很多很多选择,再加上wps软件的概念是非常丰富的,在佷大程度上满足了用户的各种各样的需求,
- 如何在wps ppt中插入一段有趣的flash呢?下面小编就为你提供wps ppt如何插入flash的方法啦!wps ppt插入flash的