首页 | 免费域名 | 个人服务器 | 一流信息监控拦截系统 | 虚拟主机知识库 | ASP 空间 | ASP技术大全 | 下载中心 | 客户服务中心
  7i24 > 虚拟主机知识库 > 必要知识 >
    7i24 .Com  
  Windows 2000 中的安全审核

7i24.Com不停为您服务
您是否知道在您的服务器上发生什么事情 — 谁在对它们进行访问,您的用户在做什么,他们的目的是什么?如果您跟大多数管理员一样,您可能就会不知道。您想知道吗?Windows 2000 提供了一种安全审核功能,可以记录好几种与安全相关的事件。您可以使用其中的信息来生成一个有规律活动的概要文件,发现和跟踪可疑事件,并留下关于某一侵入者活动的有法律效力证据。

审核事件都记录在“事件查看器”中的安全日志中。默认情况下审核功能是禁用的 — 您需要将其打开;若要启用审核,必须要对计算机(如果您想在一台特定的计算机上启用审核)或域(如果您想在整个域中启用审核)具有管理员访问权限。Active Directory 组策略可帮助您为不同类别的计算机配置自定义审核参数。

审核单台计算机
到开始 | 程序 | 管理工具并选择本地安全策略。这样就打开了一个 MMC(Microsoft 管理控制台)视图,该试图显示出该计算机的本地安全设置;转至本地策略 | 审核策略以配置审核事件。

有九类可以审核的事件,对于每一类您都可以指明是审核成功事件、失败事件,还是两者都审核。

帐户登录事件。验证(帐户有效性)通过网络对本地计算机的访问。这些事件在帐户所在的位置生成。
帐户管理。创建、修改或删除用户和组;进行密码更改。
目录服务访问。记录对 Active Directory 的访问。必须启用它以允许审核特定的目录对象。仅在域控制器上。
登录事件。对本地计算机的交互式登录或网络连接。这些事件在登录发生的位置生成。
对象访问。必须启用它以允许审核特定的对象。
策略更改。安全策略更改,包括特权指派、审核策略修改和信任关系修改。
特权使用。某一特权的使用;专用特权的指派。
进程跟踪。详细跟踪进程调用、重复进程句柄和进程终止。
系统事件。与安全(如系统关闭和重新启动)有关的事件;影响安全日志的事件。
配置审核将需要使用您计算机上的一些磁盘空间。您可以配置安全日志的最大大小(以 KB 计)以及日志大小达到此限制时应采取的操作。在事件查看器中,右键单击安全日志并选择属性。您会看到:

按需要改写事件。每次有新事件写入时从日志中清除最旧的事件。这样既可保留最多的信息,同时又可让日志大小保持最大。
改写时间超过 x 天的事件。清除日志中超过 x 天的事件。如果日志已满但最旧的事件尚未过期,则新的事件将无法写入。这一设置在您每隔 x 天就作一次归档的情况下十分有用,但如果您不进行归档,此设置就没什么用处了 — 它会让您失去最新的事件。
不改写事件。一旦日志写满之后就停止记录审核事件。您将需要手动清除日志。
将安全日志归档

从许多方面看,将日志归档是很重要的。若将日志保存在脱机的存储媒体上,就没有必要在生产服务器上保留大量的日志数据。保存的日志中包含的信息可用来了解一台计算机的规律性行为。脱机日志还被认为是调查取证中的合法证据;它们包含的在法律上有效的信息有助于跟踪和确定侵入者的行为。

若要将安全日志归档,请打开“事件查看器”,右键单击安全日志,选择另存日志文件,并输入档案的路径和文件名。理想情况下,这应是到一个专用于日志归档的内部服务器的网络路径。一定要将档案保存为 .evt(事件日志)格式 — 这样可以保留日志详细记录中的二进制信息。

日志写满时停止服务器运行

您可以将服务器配置为在日志写满时崩溃(变为蓝屏)。这对于高安全性的服务器来说是一个不错的主意 — 在某些情况下,若提供一种服务时不能进行日志记录,还不如停止此服务。要配置系统关闭:

在本地安全策略 MMC 中,转至本地策略 | 安全选项。
滚动到如果无法纪录安全审计则立即关闭系统。
双击它并选择启用。
如果配置了此设置,那么,当一个系统崩溃时,请采用下列步骤来恢复:

登录到系统的本地管理员帐户。
将日志归档。
清除该日志。
重新启用该选项 — 在崩溃时,该选项会将其自己禁用。
其他审核控制

您还可以配置另外两种审核事件,但不是从审核策略页配置。如果您想审核备份和还原的使用:

在本地安全策略 MMC 中,转至本地策略 | 安全选项。
滚动到对备份和还原权限的使用进行审计
双击它并选择启用。
只有启用了审核特权使用才能使此选项生效。

要审核对全局系统对象(多用户终端运行程序、信号灯和 DOS 设备)的访问:

在本地安全策略 MMC 中,转至本地策略 | 安全选项。
滚动到对全局系统对象的访问进行审计
双击它并选择启用。
只有启用了审核对象访问才能使此选项生效。在大多数环境中,可能没有必要审核全局系统对象。

审核对象访问
如果您需要审核对特定对象的访问,您首先需要在审核策略中启用相应的常规设置 — 对于 Active Directory 对象,应在目录服务访问策略中启用,对于文件、文件夹、驱动器、打印机和注册表项,应在对象访问策略中启用。在启用了策略后,就可以启用特定对象的审核了(通常在对象的属性页启用)。

审核文件、文件夹和驱动器。在 Windows 资源管理器中,浏览到您要审核的文件、文件夹或驱动器。右键单击该对象并选择属性 | 安全 | 高级 | 审核。单击添加以选择您要审核其访问情况的某一特定的用户或组。审核项对话框显示出了您可以审核其成功或失败的各种访问。对于文件夹和驱动器,您还可以指出审核范围 — 本文件夹、子文件夹、文件或这些项的组合。

审核打印机。打开打印机文件夹并用鼠标右键单击您想审核的打印机。选择属性 | 安全 | 高级 | 审核。单击添加以选择您要审核其访问情况的某一特定的用户或组。与文件和文件夹的情形一样,审核项对话框显示出了您可以审核其成功或失败的各种访问。

审核注册表。用 REGEDT32 打开注册表并浏览到您想审核的注册表项。从主菜单中选择安全 | 权限,然后选择高级 | 审核。单击添加以选择您要审核其访问情况的某一特定的用户或组。与文件和文件夹的情形一样,审核项对话框显示出了您可以审核其成功或失败的各种访问。

审核 Active Directory。这一项只有在域控制器中才适用。打开 Active Directory 用户和计算机。浏览到您想审核的特定的目录对象。右键单击该对象并选择属性 | 安全 | 高级 | 审核。单击添加以选择您要审核其访问情况的某一特定的用户或组。审核项对话框显示出了您可以审核其成功或失败的各种访问。可使用应用到字段来设置应用范围。

审核整个域
您可以将一个审核策略应用到整个域。在任何域控制器上,转至开始 | 程序 | 管理工具并选择域安全策略。这样就打开了一个 MMC 视图,其中显示出该域的安全设置。

在本地策略 | 审核策略中,您会看到与一台计算机中的本地设置页上完全相同的一些设置。您还会在本地策略 | 安全选项中看到同样的附加审核设置(全局系统对象、备份和还原,以及日志写满时关机)。在此配置的设置将应用到域中的每一台计算机上。域成员不能立即收到新设置;因为这些设置是计算机级别的策略元素,它们将在域成员计算机下次启动时生效。

域安全策略中还有一个附加页需要设置。在事件日志 | 事件日志设置中,您可以全局地设置安全日志的大小,允许或拒绝对日志的来宾访问,配置日志的处置以及在日志写满时关机。

自定义域中的日志记录

您可能想为服务器和工作站分别配置不同的审核方式。在这种情况下,请不要使用域安全策略 MMC 来配置审核,而应使用 Active Directory 中的组策略来为您各种类别的计算机创建自定义审核配置。

组织单位 (OU) 是这一配置方法的基础。在 Active Directory 用户和计算机中,创建可代表您的计算机分类的组织单位。然后,对于各 OU,创建一个组策略对象,使之包括对应于此类计算机的特定的审核事件。下面是具体操作步骤:

右键单击一个 OU。
选择组策略。
单击新建,为新的组策略对象取一个名称,然后单击编辑。
浏览到计算机配置 | Windows 设置 | 安全设置。
在本地策略 | 审核策略、本地策略 | 安全选项和事件日志 | 事件日志设置中配置各种审核事件。
最后,将您的计算机移入 OU 中。计算机下次启动时,它们将收到它们所属的 OU 中定义的设置。

本地策略与有效策略

审核事件设置遵守标准组策略应用规则。应用顺序是:

本地策略设置
站点策略设置
域策略设置
组织单位策略设置
默认情况下,站点、域和 OU 策略都是未定义的。各计算机的本地策略(如果有的话)将是实际有效的策略。但是,如果在层次结构中较高级别定义了一个策略元素,而且已将组策略配置为不允许本地替代,那么该定义将替代较低级别的定义。这意味着,尽管您可以按自己的意图配置较多或较少的本地审核事件,但是,如果一个域策略(举例来说)特地启用或禁用了某一特定审核事件,则不管您是如何定义本地设置的,此设置都将优先于您的本地设置。

审核方案
确定应审核什么在一开始可能有点困难。下表列出了一些潜在的威胁,以及哪些审核设置有助于指出系统是否在受到此类攻击。

潜在的威胁
审核事件

随机密码试探

审核失败的登录/注销事件


窃取密码侵入

审核成功的登录/注销事件


误用特权

审核成功的用户权限、用户和组管理、安全策略更改、重新启动、关机和系统事件。


对敏感文件的不当访问

审核成功的和失败的文件访问和对象访问事件。审核可疑用户或组对敏感文件的成功及失败的读取/写入访问事件。


对打印机的不当访问

审核成功和失败的对打印机的文件访问事件,以及成功和失败的对象访问事件。审核可疑用户或组对打印机的成功和失败的打印访问。


病毒发作

审核成功和失败的对程序文件(.EXE 和 .DLL 扩展)和可能包含宏的文档的写访问。审核成功和失败的进程跟踪。

  2003年12月26日  阅读 1301 次  发送此页给朋友  来源:    版权争议  删除

相关文章:   近期热点:

上一篇:
下一篇: ping的高级用法
返回上一层...
搜索:

(C)2001-2005 7i24.Com 保留所有权利