操作系統(tǒng)安全第五章windows系統(tǒng)資源的安全保護(hù)-資料下載頁(yè)
2025-01-09 21:51本頁(yè)面
【正文】 事件日志中會(huì)出現(xiàn)表 57所列舉的事件 ID。 ? （ 6）策略更改 ? 一個(gè)高級(jí)攻擊者將會(huì)設(shè)法修改審核策略本身，以使他們進(jìn)行的任何更改不會(huì)被審核到。如果審核策略被更改，將會(huì)發(fā)現(xiàn)修改審核策略的企圖以及對(duì)其他策略和用戶(hù)權(quán)限的更改。成員服務(wù)器和域控制器基本策略對(duì)成功和失敗的審核策略更改默認(rèn)啟用審核。可以在事件日志中看到記錄的如表 58所示的 ID事件： ? ? 事件日志分為應(yīng)用程序日志、安全日志和系統(tǒng)日志三類(lèi)，通過(guò)審核生成的每一個(gè)事件都可在事件查看器中查看。 ? （ 1）事件日志屬性設(shè)置 ? 若要設(shè)置事件日志在存儲(chǔ)事件的方式，可直接在事件查看器窗口中進(jìn)行設(shè)置，也可在組策略中對(duì)其進(jìn)行定義。 ? 1）通過(guò) “ 事件查看器 ”設(shè)置 ? 打開(kāi) “ 事件查看器 ” 窗口，在左側(cè)窗口中，選擇特定的事件日志（應(yīng)用程序 /安全 /系統(tǒng)日志），右鍵單擊，選擇“ 屬性 ” 命令，打開(kāi)相應(yīng)類(lèi)型事件日志的屬性設(shè)置對(duì)話(huà)框，根據(jù)需要對(duì)設(shè)置進(jìn)行修改。 ? （ 1）事件日志屬性設(shè)置 ? 若要設(shè)置事件日志在存儲(chǔ)事件的方式，可直接在事件查看器窗口中進(jìn)行設(shè)置，也可在組策略中對(duì)其進(jìn)行定義。 ? 2）通過(guò)組策略設(shè)置 ? 單擊 “ 開(kāi)始 ” ，在 “ 運(yùn)行 ” 中輸入 “ ”，打開(kāi) “ 組策略編輯器 ” 窗口，在左策窗口定位到 “ 計(jì)算機(jī)配置 \Windows 設(shè)置 \安全設(shè)置 \事件日志 \事件日志設(shè)置 ”（如圖 ），根據(jù)需要對(duì)設(shè)置進(jìn)行修改。 ? 事件日志屬性可進(jìn)行設(shè)置的參數(shù)如下： ? ●最大值：設(shè)置日志可以容納的最大容量。表 59 列出了推薦的日志容量。 ? ●保留方法：確定當(dāng)前日志已滿(mǎn)時(shí)將如何處理。表 510列出了推薦的保留方法。 ? 事件日志屬性可進(jìn)行設(shè)置的參數(shù)如下： ? 保留天數(shù)：設(shè)置了保留天數(shù)后，如果日志在還沒(méi)有達(dá)到保留天數(shù)之前就已經(jīng)填滿(mǎn)，則不會(huì)繼續(xù)記錄日志，直到超過(guò)保留天數(shù)為止，此時(shí)將覆蓋掉以前的日志。應(yīng)該注意，應(yīng)該根據(jù)保留天數(shù)設(shè)置足夠大的最大容量，否則將錯(cuò)過(guò)重要的審核事件。 ? 按需要改寫(xiě)事件：不受保留天數(shù)限制，只要日志記錄超過(guò)最大值就覆蓋以前的事件。但是攻擊者可以利用這個(gè)設(shè)置來(lái)覆蓋可能記錄了攻擊行為的重要信息。一般不推薦設(shè)置該選項(xiàng)。 ? 不改寫(xiě)事件：日志記錄達(dá)到最大值后，需要管理員手工清除日志，否則不會(huì)再記錄任何事件。如果存在定期的日志檢查制度，則可采取此項(xiàng)設(shè)置。 ? 限制來(lái)賓的日志的訪(fǎng)問(wèn)：刪除 Everyone組訪(fǎng)問(wèn)日志的能力。默認(rèn)情況下，任何用戶(hù)都可以訪(fǎng)問(wèn)應(yīng)用程序日志和系統(tǒng)日志，管理員賬號(hào)可以查看安全日志。 ? 安全審核日志滿(mǎn)后關(guān)閉計(jì)算機(jī)：日志記錄已滿(mǎn)且不能覆蓋事件時(shí)，系統(tǒng)自動(dòng)關(guān)閉。此時(shí)只有管理員用戶(hù)才能登錄。一般不推薦設(shè)置該選項(xiàng)。 ? （ 2）事件日志的篩選 ? 在事件查看器中可以定義篩選器以查找特定的事件。打開(kāi) “ 事件查看器 ” 窗口，在左側(cè)窗口中，選擇其中特定類(lèi)型的事件日志，單擊右鍵，選擇 “ 屬性 ” 命令，切換到“ 篩選器 ” 選項(xiàng)卡，設(shè)定用于篩選的參數(shù)。 ? （ 2）事件日志的篩選 在這里可以定義下列屬性以篩選事件項(xiàng)。 ? 事件類(lèi)型：設(shè)置事件為信息、警告、錯(cuò)誤、成功審計(jì)、失敗審計(jì)類(lèi)型或其任意組合。 ? 事件來(lái)源：生成該事件的特定服務(wù)或驅(qū)動(dòng)程序。 ? 類(lèi)別：設(shè)置篩選特定的事件類(lèi)別。 ? 事件 ID：設(shè)置篩選特定的事件 ID。 ? 用戶(hù)：設(shè)置篩選由特定用戶(hù)生成的事件。 ? 計(jì)算機(jī)：設(shè)置篩選由特定計(jì)算機(jī)生成的事件。 ? 日期間隔：設(shè)置篩選在特定的開(kāi)始日期和結(jié)束日期之間發(fā)生的事件。 ? 1. FTP日志分析 ? FTP日志和 WWW日志在默認(rèn)情況下，每天生成一個(gè)日志文件，包含了該日的一切記錄，文件名通常為 ex（年份）（月份）（日期）。例如 ex100730，就是 2022年 7月 30日產(chǎn)生的日志，用記事本可直接打開(kāi)，普通的有入侵行為的日志可能是這樣的： ? Software: Microsoft Inter Information Services （微軟 ） ? Version: （版本 ） ? Date: 20220730 0315 （服務(wù)啟動(dòng)日期時(shí)間） ? Fields: time cip csmethod csuristem scstatus ? 0315 [1]USER administator 331（ IP地址為 administator試圖登錄） ? 0318 [1]PASS – 530（登錄失敗） ? 032:04 [1]USER nt 331（ IP地址為 nt的用戶(hù)試圖登錄） ? 032:06 [1]PASS – 530（登錄失?。? ? 032:09 [1]USER cyz 331（ IP地址為 cyz的用戶(hù)試圖登錄） ? 0322 [1]PASS – 530（登錄失敗） ? 0322 [1]USER administrator 331（ IP地址為 administrator試圖登錄） ? 0324 [1]PASS – 230（登錄成功） ? 0321 [1]MKD nt 550（新建目錄失?。? ? 0325 [1]QUIT – 550（退出 FTP程序） ? 從日志里能看出 IP地址為 ，換了四次用戶(hù)名和密碼最終登錄成功，攻擊者的入侵時(shí)間、 IP地址以及探測(cè)的用戶(hù)名都很清楚的記錄在日志上。如上例入侵者最終是用 Administrator用戶(hù)名進(jìn)入的，那么管理員就需要考慮此用戶(hù)名是不是密碼失竊，應(yīng)該如何防范。 ? 2. WWW日志分析 ? WWW服務(wù)同 FTP服務(wù)一樣，日志文件保存在%systemroot%\system32\LogFiles\ W3SVC1目錄下，默認(rèn)是每天一個(gè)日志文件。在這里舉個(gè)簡(jiǎn)單的例子： ? Software: Microsoft Inter Information Services ? Version: ? Date: 20220730 03:091 ? Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent) ? 20220730 03:091 80 GET / 200 Mozilla/+(patible\。+MSIE+\。+Windows+XP\。+DigExt) ? 20220419 03:094 80 GET / 200 Mozilla/+(patible\。+MSIE+\。+Windows+98\。+DigExt) ? 通過(guò)分析第五、六行，可以看出 2022年 7月 30日， IP地址為 用戶(hù)通過(guò)訪(fǎng)問(wèn) IP地址為 80端口，查看了一個(gè)頁(yè)面，這位用戶(hù)的瀏覽器為 patible\。 +MSIE+\。+Windows+XP+DigExt，有經(jīng)驗(yàn)的管理員可結(jié)合安全日志、FTP日志和 WWW日志來(lái)確定是否發(fā)生了入侵行為、入侵者的 IP地址以及入侵時(shí)間。
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1