操作系統(tǒng)安全第五章windows系統(tǒng)資源的安全保護(參考版)
2025-01-12 21:51本頁面
【正文】 +Windows+XP+DigExt，有經(jīng)驗的管理員可結合安全日志、FTP日志和 WWW日志來確定是否發(fā)生了入侵行為、入侵者的 IP地址以及入侵時間。+DigExt) ? 通過分析第五、六行，可以看出 2022年 7月 30日， IP地址為 用戶通過訪問 IP地址為 80端口，查看了一個頁面，這位用戶的瀏覽器為 patible\。+MSIE+\。+Windows+XP\。在這里舉個簡單的例子： ? Software: Microsoft Inter Information Services ? Version: ? Date: 20220730 03:091 ? Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent) ? 20220730 03:091 80 GET / 200 Mozilla/+(patible\。如上例入侵者最終是用 Administrator用戶名進入的，那么管理員就需要考慮此用戶名是不是密碼失竊，應該如何防范。 ? 1. FTP日志分析 ? FTP日志和 WWW日志在默認情況下，每天生成一個日志文件，包含了該日的一切記錄，文件名通常為 ex（年份）（月份）（日期）。 ? 計算機：設置篩選由特定計算機生成的事件。 ? 事件 ID：設置篩選特定的事件 ID。 ? 事件來源：生成該事件的特定服務或驅動程序。 ? （ 2）事件日志的篩選 在這里可以定義下列屬性以篩選事件項。 ? （ 2）事件日志的篩選 ? 在事件查看器中可以定義篩選器以查找特定的事件。此時只有管理員用戶才能登錄。默認情況下，任何用戶都可以訪問應用程序日志和系統(tǒng)日志，管理員賬號可以查看安全日志。如果存在定期的日志檢查制度，則可采取此項設置。一般不推薦設置該選項。 ? 按需要改寫事件：不受保留天數(shù)限制，只要日志記錄超過最大值就覆蓋以前的事件。 ? 事件日志屬性可進行設置的參數(shù)如下： ? 保留天數(shù)：設置了保留天數(shù)后，如果日志在還沒有達到保留天數(shù)之前就已經(jīng)填滿，則不會繼續(xù)記錄日志，直到超過保留天數(shù)為止，此時將覆蓋掉以前的日志。 ? ●保留方法：確定當前日志已滿時將如何處理。 ? 事件日志屬性可進行設置的參數(shù)如下： ? ●最大值：設置日志可以容納的最大容量。 ? （ 1）事件日志屬性設置 ? 若要設置事件日志在存儲事件的方式，可直接在事件查看器窗口中進行設置，也可在組策略中對其進行定義。 ? （ 1）事件日志屬性設置 ? 若要設置事件日志在存儲事件的方式，可直接在事件查看器窗口中進行設置，也可在組策略中對其進行定義。成員服務器和域控制器基本策略對成功和失敗的審核策略更改默認啟用審核。 ? （ 6）策略更改 ? 一個高級攻擊者將會設法修改審核策略本身，以使他們進行的任何更改不會被審核到。這是很重要的，因為攻擊者往往試圖在對環(huán)境進行更改之后清除他們的蹤跡?？梢詫徍藢ο到y(tǒng)進行更改的嘗試，如關閉計算機或更改系統(tǒng)時間。這些對象的 SACL包含著可以對本對象進行操作的用戶和組的列表。 ? （ 4）對象訪問 ? 可以用系統(tǒng)訪問控制列表 (SACL)對基于 Windows 2022的網(wǎng)絡中的所有對象啟用審核。作為成員服務器和域控制器基本策略的組成部分，賬戶管理中的對成功和失敗的審核默認啟用。因此對于網(wǎng)絡登錄和終端服務身份驗證，可以看到表 54列舉的事件 ID： ? （ 3）賬戶管理 ? 賬戶管理的審核用于確定用戶或組是在何時創(chuàng)建、更改或刪除的。由于賬戶登錄事件可以記錄在域中的任何有效的域控制器上，因此應當確保將各個域控制器上的安全日志合并，再來分析域中的所有賬戶登錄事件。 ? （ 2）賬戶登錄事件 ? 在一個用戶登錄到域時，是在域控制器上對登錄進行處理的。作為成員服務器和域控制器基本策略的組成部分，對成功和失敗登錄事件的審核默認啟用。此外，在用戶連接到遠程服務器之后，也會在遠程服務器的安全日志中生成一個登錄事件。 ? DNS 服務日志：記錄與域名系統(tǒng)相關的事件，包括 DNS服務何時啟動或停止，以及與 DNS區(qū)域相關的任何錯誤信息。 ? 目錄服務日志：記錄與目錄服務相關的事件。 ? 系統(tǒng)日志：記錄 Windows系統(tǒng)自身產(chǎn)生的事件，以及驅動程序等組件產(chǎn)生的事件。 ? 應用服務日志：記錄應用程序和系統(tǒng)產(chǎn)生的事件。這些事件被分別記錄到六種日志中去，分別是應用程序日志、系統(tǒng)日志、安全日志、目錄服務日志、文件復制日志和 DNS服務器日志。 ? 設置時，依次訪問鍵值HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer，在右邊窗口中新建 DWORD值 “ NoNetHood”，把該值設置為 “ 1”，即可。 ? 設置時，依次訪問鍵值HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer，在右邊窗口新建一個 DWORD串值 “ NoSetTaskBar”， 設置該值為 “ 1”，即可。例如將 “ 1”、“ 2”、 “ 3”分別設置為 、 、則用戶只能使用 word、記事本和寫字板這三種指定的程序了。 ? 設置時，依次訪問鍵值HKEY_CURRENT_USER\Software\ Microsoft\Windows\CurrentVersion\Policies\Explorer，在右邊窗口中新建一個 DWORD串值“ RestrictRun“，把該值設為 “ 1”。設置時，依次訪問鍵值HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Policies\Explore，在右邊窗口中新建一個 DWORD串值“ NoChangeStartMenu”，把該值設置為 “ 1”，即可。 ? 設置時，依次訪問鍵值HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Policies\，在左邊窗口中如果發(fā)現(xiàn)Policies下面沒有 System子鍵，則新建一個子鍵，取名“ System”，然后在右邊窗口新建一個 DWORD串值“ DisableRegistryTools”，把該值設置為 “ 1”，即可。 ? 設置時，依次訪問鍵值HKEY_Users\Software\Microsoft\Windows\CurentVersion\Polioies\Explores，并用鼠標雙擊 “ No Save Setting”，把該值從 “ 0”改為 “ 1”，即可。 Windows系統(tǒng)安全 5. 鎖定桌面 ? 桌面設置包括壁紙、圖標以及快捷方式，一般都不希望他人隨意修改桌面設置或隨
試題試卷相關推薦
鄂ICP備17016276號-1