Третье лабораторное задание

Управление журналом безопасности

 

Просмотр журнала безопасности компьютера и отбора событий

1. Войдите в систему под любой учетной запи­сью, входящей в группу Администраторы (Administrators).

2. Щелкните Пуск (Start), Панель управления (Control Panel), катего­рию Производительность и обслуживание (Performance And Main­tenance) и Администрирование (Administrative Tools), затем дважды щелкните ярлык Просмотр событий (Event Viewer).

3. В дереве консоли щелкните приложение (Application Log) и просмотрите его содержимое. Просмотрите описание несколь­ких событий, дважды щелкнув соответствующие записи.

4. В дереве консоли щелкните система (System Log) и про­смотрите его содержимое. Просмотрите описание нескольких со­бытий, дважды щелкнув каждую их соответствующих записей (рис. 6.).

 

 

Рис. 6. Отображение журнала безопасности в окне утилиты Просмотр событий (Event Viewer)

 

Успешные попытки условно обозначены значком ключа, а неудач­ные — значком замка. Кроме того, указаны дата и время события, категория события и пользователь, действие которого вызвало данное событие. В колонке Категория (Category) отображается тип события, напри­мер доступ к объекту, управление учетными записями, доступ к службе каталогов или попытки регистрации в системе. Типы регистрируемых событий представлены в таблице 8.

Чтобы просмотреть дополнительную информацию о любом собы­тии, щелкните название события и в меню Действие (Action) щел­кните пункт Свойства (Properties).

5. В дереве консоли щелкните безопасность (Security Log) и просмотрите его содержимое. Просмотрите описания всех собы­тий категории Отказ (Failure), дважды щелкая соответствующие записи, пока не найдете попытку доступа пользователя User2 к файлу C:\Audit\Audit.

6. В меню Вид (View) выберите пункт Фильтр (Filter).

На рис. 7 показаны пара­метры вкладки Фильтр (Filter).

 

 

Рис. 7. Вкладка Фильтр (Filter) окна Свойства:Безопасность (System Properties)

утилиты Просмотр событий (Event Viewer)

 

7. В диалоговом окне Свойства: Безопасность (Security Properties), в поле Пользователь (User), введите User2 и щелкните ОК. Приме­нение фильтра уменьшит число событий, которые придется про­смотреть, чтобы найти нужное.

8. Дважды щелкните каждое из событий. Обратите внимание, что все они относятся к пользователю User2.

 

Настройка размера и содержимого файла журнала

1. В дереве консоли выберите элемент Система (System).

2. В меню Действие (Action) щелкните пункт Свойства (Properties).

3. В диалоговом окне свойств журнала выберите Затирать старые со­бытия по необходимости (Overwrite Events As Needed).

4. В поле Максимальный размер журнала (Maximum Log Size) изме­ните максимальный размер журнала на 2048 кбайт и щелкните ОК. Теперь Windows XP Professional будет заполнять журнал, пока его объем не достигнет 2048 кбайт, а затем начнет затирать старые события по мере необходимости.

5. Закройте окно Просмотр событий (Event Viewer) и окно Админист­рирование (Administrative Tools).

 

Типы регистрируемых событий Таблица 8

Иденти­фи­катор	Категория	Описание
	Системное событие	Перезагрузка операционной системы
	Системное событие	Завершение работы операционной систе­мы (shutdown)
	Системное событие	Загрузка пакета аутентификации
	Системное событие	Запуск процесса аутентификации (в стан­дартной конфигурации WinLogon.exe)
	Системное событие	Сбой при ретистрации одного или несколь­ких событий аудита1
	Системное событие	Очистка журнала аудита
518 528	Системное событие Вход/выход пользо­вателя \лз системы	Загрузка пакета оповещения об изменени­ях в списке пользователей Пользователь успешно вошел в систему
	Вход/выход пользо­вателя из системы	Вход пользователя в систему запрещен -имя или пароль, введенные при входе в систему, некорректны
	Вход/выход пользо­вателя из системы	Вход пользователя в домен в данное время запрещен
	Вход/выход пользо­вателя из системы	Вход пользователя в систему запрещен -учетная запись пользователя заблокиро­вана администратором
	Вход/выход пользо­вателя из системы	Вход пользователя в Домен запрещен -учетная запись пользователя автоматиче­ски заблокирована по достижении опреде­ленной даты
	Вход/выход пользо­вателя из системы	Вход пользователя в домен с данной ра­бочей станции запрещен
	Вход/выход пользо­вателя из системы	Данный тип (интерактивный, сетевой или сервисный) входа пользователя в систему запрещен
	Вход/выход пользо­вателя из системы	Вход пользователя в систему запрещен -пароль пользователя устарел
	Вход/выход пользо­вателя из системы	Пользователь не смог войти в домен из-за сбоев сетевых сервисов
	Вход/выход пользо­вателя из системы	Пользователь не смог войти в систему по какой-то другой причине
	Вход/выход пользо­вателя из системы	Пользователь успешно вышел из системы

Продолжение табл. 8

Иденти­фи­катор	Категория	Описание
	Вход/выход пользо­вателя из системы	Вход пользователя в систему запрещен -учетная запись пользователя автоматиче­ски заблокирована из-за превышения мак­симально допустимого количества попыток входа в систему с неверным паролем
	Доступ к объекту	Пользователь попытался открыть объект
	Доступ к объекту	Пользователь закрыл объект
	Использование опас­ных привилегий	В маркере доступа пользователя присут­ствует опасная привилегия
	Использование опас­ных привилегий	Предпринята попытка использования опасной привилегии при выполнении опе­рации, не связанной с доступом к объек­там3
	Использование опас­ных привилегий	Предпринята попытка использования опасной привилегии для получения досту­па к объекту
	Запуск/завершение процессов	Запуск нового процесса
	Запуск/завершение процессов	Завершение процесса
	Запуск/завершение процессов	Дублирование дескриптора (handle) объек­та
	Запуск/завершение процессов	Непрямой доступ к объекту
	Изменения в полити­ке безопасности	Субъекту предоставлена новая привиле­гия
	Изменения в полити­ке безопасности	У субъекта отнята привилегия
	Изменения в полити­ке безопасности	Установлены доверительные отношения с другим доменом
	Изменения в полити­ке безопасности	Доверительные отношения с другим доме­ном прекращены
	Изменения в полити­ке безопасности	Изменена политика аудита
	Изменения в списке пользователей2	Создана учетная запись нового пользова­теля
	Изменения в списке пользователей	Изменен тип учетной записи
	Изменения в списке пользователей	С учетной записи пользователя снята бло­кировка
	Изменения в списке пользователей	Неудачная попытка изменить пароль поль­зователя
	Изменения в списке пользователей	Удачная попытка изменить пароль пользо­вателя
	Изменения в списке пользователей	Учетная запись пользователя заблокиро­вана

Окончание табл. 8

Иденти­фи­катор	Категория	Описание
	Изменения в списке пользователей	Учетная запись пользователя удалена
	Изменения в списке пользователей	Создана новая глобальная группа
	Изменения в списке пользователей	Пользователь добавлен в глобальную группу
	Изменения в списке пользователей	Пользователь удален из глобальной груп­пы
	Изменения в списке пользователей	Глобальная группа удалена
	Изменения в списке пользователей	Создана новая локальная группа
	Изменения в списке пользователей	Пользователь добавлен в локальную груп­пу
	Изменения в списке пользователей	Пользователь удален из локальной группы
	Изменения в списке пользователей	Локальная группа удалена
	Изменения в списке пользователей	Произведены изменения в учетной записи локальной группы, не связанные с изменением членства пользователей в этой груп­пе
	Изменения в списке пользователей	Произведены изменения в списке пользо­вателей, не связанные с редактированием учетных записей
	Изменения в списке пользователей	Произведены изменения в учетной записи глобальной группы, не связанные с изме­нением членства пользователей в этой группе
	Изменения в списке пользователей	Произведены изменения в учетной записи пользователя, не связанные с изменением типа учетной записи, пароля пользователя и членства пользователя в группах

 

 

⇐ Предыдущая12345

Поделиться:

Воспользуйтесь поиском по сайту: