Windows审核策略及事件查看器
实验二十一W i ndo w s审核策略及事件查看器
班级: 学号:姓名
实验目的
掌握 W in do ws 下审核策略的设置方法，了解审核策略的制定准则。
掌握查看器查看
审核日志和审核事件的一般方法。
实验环境
win d o ws S er ve r 2003虚拟机
实验学时
2学时，必做实验。
实验内容
1(审核策略
(使用事件查看器查看审核事件。
2
实验步骤
1( 审核策略。
安全审核是W in do ws 2000最基本的入侵检测方法。
当有人尝试对系统进行某种方式
(如尝试用户密码，改变帐户策略和未经许可的文件访问等等)入侵的时候，都会被安全
审核记录下来。
打开“本地安全设置”，设置审核策略如下:
策略设置
审核系统登陆事件成功，失败
审核帐户管理成功，失败
审核登陆事件成功，失败
审核对象访问成功
审核策略更改成功，失败
审核特权使用成功，失败
审核系统事件成功，失败
2(审核对特定文件或文件夹的访问。
创建一个 A u dit 文件夹，在该文件夹下创建一个文件A u d it.txt，修改该文件的审核记录(右击该文件夹夹，在弹出对话框中，选择【属性】-【安全】-【高级】-【审核】，添加需要审核的用户或组，以及需要审核的项目)，对用户组Eve ryo ne 审核;创建/写入数据、删除、更改权限的成功和失败事件。
然后A ud it文件夹的Ev er yo ne权限为读权限，删除其他权限。
使用普通用户访问该文件夹，并进行浏览、开打、修改和删除等操作。
3(打开事件查看器，查看日志的内容
分析与思考。
windows审计配置windows配置基本安全审核策略 -回复
windows审计配置windows配置基本安全审核策略-回复Windows审计配置和Windows配置基本安全审核策略对于确保系统安全性至关重要。
本文将一步一步回答关于这方面的问题，旨在提供详细的指导和解释。
首先，我们将从Windows审计配置开始。
Windows审计是一种跟踪和记录系统活动的功能。
它可以帮助我们了解系统发生了什么，并在发生安全事件时提供有关事件的详细信息。
这对于安全团队来说是非常有价值的，因为他们可以通过审计日志检查是否有未经授权的操作或潜在的安全风险。
要配置Windows审计，我们可以按照以下步骤进行操作：1. 打开“开始”菜单，然后选择“管理工具”。
2. 在“管理工具”中，打开“本地安全策略”。
3. 在本地安全策略对话框中，展开“本地策略”文件夹，然后选择“审核策略”。
4. 在右侧窗口中，您将看到许多可以配置的审核选项。
5. 可以根据需要启用或禁用这些选项。
例如，您可以启用“登录事件”以跟踪用户登录和注销的情况，或启用“对象访问”以跟踪对某些文件或文件夹进行的访问。
除了配置Windows审计外，我们还需配置Windows的基本安全审核策略。
这些策略是确定系统安全配置的基础。
以下是一些重要的基本安全审核策略：1. 强制复杂密码：配置密码策略以确保用户使用强密码。
此策略可防止使用容易猜测或弱密码，如“123456”或“password”。
2. 禁用默认管理员账户：默认的管理员账户是攻击者常常利用的目标。
禁用它以减轻攻击风险，并使用具有更高安全级别的用户账户进行管理任务。
3. 启用帐户锁定：帐户锁定是一种保护机制，可以在一定数量的登录尝试失败后自动锁定帐户。
这可以防止暴力破解密码。
4. 启用网络防火墙：Windows自带了一个网络防火墙，可以帮助阻止未经授权的网络访问。
确保它是启用的，并配置适当的防火墙规则。
5. 更新和维护系统：定期安装最新的Windows更新和补丁程序，以修补已知的漏洞和安全漏洞。
微软文件审核功能
一、启用审核对象访问
1.以具有管理员权限的帐户登录到文件服务器。
2.确保已经安装“组策略”管理单元。
3.单击开始，指向设置，然后单击控制面板。
4.双击管理工具。
5.双击本地安全策略，启动“本地安全设置”MMC 管理单元。
6.双击本地策略将其展开，然后双击审核策略。
7.在右窗格中，双击审核对象访问。
8.单击选项：审核成功的尝试和审核失败的尝试。
注意：如果您是域成员并且已定义域级策略，则域级设置将替代本地策略设置。
二、设置Windows 文件或文件夹审核
1.启动Windows 资源管理器（单击开始，依次指向程序、附件，然后单击
Windows 资源管理器），然后找到要审核的文件或文件夹。
2.右键单击该文件或文件夹，单击属性，然后单击安全选项卡。
3.单击高级，然后单击审核选项卡。
4.单击添加。
在名称框中，键入要审核的用户的名称。
5.单击确定以自动打开审核项对话框。
6.根据要审核的访问类型，在访问下，单击成功、失败或成功和失败。
7.如果要防止树中的文件和子文件夹继承这些审核项，请单击以选中“应用这些
审核项”复选框。
三、使用Windows安全日志查看审核
1.单击开始，指向设置，然后单击控制面板。
2.双击管理工具，然后双击计算机管理。
3.展开系统工具，然后展开事件查看器。
4.单击安全日志。
windows系统的四大后门
windows系统的四大后门windows系统的四大后门后门是攻击者出入系统的通道，惟其如此它隐蔽而危险。
攻击者利用后门技术如入无人之境，这是用户的耻辱。
针对Windows系统的后门是比较多的，对于一般的后门也为大家所熟知。
下面笔者揭秘四个可能不为大家所了解但又非常危险的后门。
1、嗅探欺骗，最危险的后门这类后门是攻击者在控制了主机之后，并不创建新的帐户而是在主机上安装嗅探工具窃取管理员的密码。
由于此类后门，并不创建新的帐户而是通过嗅探获取的管理员密码登录系统，因此隐蔽性极高，如果管理员安全意识不高并缺少足够的安全技能的话是根本发现不了的。
(1).安装嗅探工具攻击者将相应的嗅探工具上传或者下载到服务器，然后安装即可。
需要说明的是这些嗅探工具一般体积很小并且功能单一，但是往往被做成驱动形式的，所以隐蔽性极高，很难发现也不宜清除。
(2).获取管理员密码嗅探工具对系统进行实施监控，当管理员登录服务器时其密码也就被窃取，然后嗅探工具会将管理员密码保存到一个txt文件中。
当攻击者下一次登录服务器后，就可以打开该txt文件获取管理员密码。
此后他登录服务器就再不用重新创建帐户而是直接用合法的管理员帐户登录服务器。
如果服务器是一个Web，攻击者就会将该txt文件放置到某个web目录下，然后在本地就可以浏览查看该文件了。
(3).防范措施嗅探后门攻击者以正常的管理员帐户登录系统，因此很难发现，不过任何入侵都会留下蛛丝马迹，我们可以启用组策略中的“审核策略”使其对用户的登录情况进行记录，然后通过事件查看器查看是否有可疑时间的非法登录。
不过，一个高明的攻击者他们会删除或者修改系统日志，因此最彻底的措施是清除安装在系统中的嗅探工具，然后更改管理员密码。
2、放大镜程序，最狡猾的后门放大镜(magnify.exe)是Windows 2000/XP/2003系统集成的一个小工具，它是为方便视力障碍用户而设计的。
在用户登录系统前可以通过“Win+U”组合键调用该工具，因此攻击者就用精心构造的magnify.exe同名文件替换放大镜程序，从而达到控制服务器的目的。
Windows系统安全检查表巡检模板
√
√ √
4.11
帐户：重命名系统管理员账户（除了
√
3.12
帐户：来宾状态（已禁用）
√
3.13
网络访问：不允许SAM帐户和共享的匿名枚举（启 √
3.14
网络访问：不允许为网络身份验证储存凭证或
√
3.15
审核：如果无法记录安全审核则立即关闭系统
√
3.16
审核：对全局系统对象的访问进行审核（启用）
√
3.17
2.4
密码策略：密码最短使用期限（1天）
2.5
密码策略：强制密码历史（24）
2.6
密码策略：用可还原的加密来储存密码（禁用）
2.7
帐户锁定策略：复位帐户锁定计数器（15分钟之
2.8
帐户锁定策略：帐户锁定时间（15分钟）
2.9 审计 帐户锁定策略：帐户锁定阀值（3次无效登录）
2.10 和帐 审核策略：审核策略更改（成功和失败）
2.18
审核策略：审核帐户管理（成功和失败）
2.19
事件查看器：登录保持方式（需要时覆盖事件日
2.20
事件查看器：安全日志最大占用空间（80Mb）
在本地安全设置中从远端系统强制关机只指派给
3.1 用户 Administrators组。“从远程系统强制关机”设置
权限 为“只指派给Administrators组”。（询问远程用
√
9.5
打开杀毒软件杀毒历史记录，不存在没被清除的病
√
9.6 身份 错误用户名、口令登录失败
9.7 鉴别 添加重复标识的用户失败
（Windows)
现状描述
有1个重要更新已下载未更新 提示最新更新为9/28,失败
实训62Windows安全审计功能
审计特权使用：记录特权用户的登录和操作 配置审计规则：根据安全策略设置审计规则 审计日志分析：定期分析审计日志，发现潜在的安全风险 审计报警机制：设置报警阈值，及时发现异常行为
汇报人：XX
效果：合理的审核策略可以有效提高系统的安全性，及时发现潜在的安全威胁并进行处 理。
记录特权账号登录和操作 检测和预防特权滥用 定期审计特权账号活动 及时发现和处理异常行为
Part Four
打开“事件查看器” 选择“Windows日志” 配置审计规则，选择需要监控的事件类型 启用审计并保存配置
启用Windows安全审计功能 配置日志记录路径和文件大小 配置审计规则，选择需要监控的对象和事件 启动审计并实时监控安全事件
XX,a click to unlimited possibilities
汇报人：XX
01 02 03 04 05
06
Part One
Part Two
安全审计是一种对系统安全性进行评估和监测的过程，通过记录和分析系统中的安全事件来发现潜在的安全威胁和漏洞。 安全审计的目的是为了确保系统的安全性，通过及时发现和解决安全问题，减少安全风险，保护系统和数据的安全。
识别潜在的安全威 胁和漏洞
监测和记录系统活 动，提高安全性
检测和预防恶意软 件和网络攻击
符合法规和政策要 求，降低合规风险
安全日志：记录 系统中的安全事 件，包括登录、 注销、文件访问 等。
事件查看器：用 于查看和管理安 全日志，提供对 安全事件的监控 和预警。
防火墙：用于阻 止未经授权的访 问和网络通信， 保护系统免受恶 意攻击。
windows系统高级审核策略
windows系统高级审核策略Windows系统高级审核策略是一种非常有效的安全机制，它可以使系统管理员对系统中的各种操作进行审计、记录以及监控。
作为Windows操作系统中的一项重要功能，其主要作用就是为了保护系统的安全性。
下面就来详细地介绍一下Windows系统高级审核策略的相关内容。
一、Windows系统高级审核策略简介Windows系统高级审核策略是一种可以记录和监视Windows系统中所有的安全事件的功能，可以通过本地安全策略或组策略来启用该功能。
一旦启用后，Windows系统就可以记录用户登录、对象访问、系统策略更改、安全事件发生等所有安全事件。
二、如何启用Windows系统高级审核策略启用Windows系统高级审核策略可以通过以下方式：1. 通过组策略：在“本地组策略对象编辑器”中找到“安全设置”-->“本地策略”-->“审核策略”-->“审核事件”-->选择要审核的事件，然后启动审核。
2. 通过本地安全策略：在“本地安全策略”-->“高级审核策略”中勾选需要监控的事件。
三、常见的Windows系统高级审核策略记录事件类型Windows系统高级审核策略可以记录很多类型的事件，包括：1. 登录/注销事件：即用户登录和注销事件，包括成功和失败的登录事件。
2. 对象访问事件：包括文件和文件夹的访问、更改、移动和删除等操作，以及注册表的访问、更改等操作。
3. 系统事件：包括安全策略的更改、权限更改以及其他与系统安全相关的事件。
4. 内核对象事件：包括驱动程序加载和卸载等内核对象操作。
四、总结Windows系统高级审核策略对于系统的安全性起到了至关重要的作用，可以记录系统中的所有安全事件，保证系统的运行安全。
管理员可以根据需要启用或关闭该功能，同时还可以设置不同的策略记录不同类型的事件，这样可以提高系统的管理效率，并且可以及时发现和处理安全事件。
windows 审核策略
windows 审核策略
Windows审核策略是用于监控和记录计算机系统事件的一种安全机制。
通
过配置审核策略，可以对特定事件进行记录，以便于后续的分析和故障排除。
在Windows系统中，可以通过组策略编辑器来配置审核策略。
具体步骤如下：
1. 按下Win键和R键，打开运行窗口，输入""，然后点击"确定"。
2. 在组策略编辑器中，依次展开"计算机配置"->"Windows设置"->"安全
设置"->"本地策略"->"审核策略"。
3. 在右侧窗口中，可以看到系统默认的所有审核策略。
双击要配置的策略，例如"审核账户登录事件"。
4. 在弹出的对话框中，选择"定义这些策略设置"复选框，然后根据需要选择"成功"或"失败"复选框。
5. 单击"确定"按钮，保存对该策略的设置。
通过以上步骤，可以配置Windows审核策略，对账户登录等事件进行记录。
需要注意的是，审核策略可能会对系统性能产生一定影响，因此建议根据实际需求进行配置，并定期进行审核日志的分析和清理。
Windows 事件查看器(Event Viewer) 检查日志的方法
Windows 事件查看器(Event Viewer) 检查日志的方法
【来源：小鸟云计算】
Ps.小鸟云，国内专业的云计算服务商
Windows 系统下用户有时会遇到主机自动重启，资源异常，应用程序错误等现象，可以使用操作系统自带的事件查看器检查对应的事件进行排查。
事件查看器
点击“计算机”—右键“管理”–打开服务器管理—诊断—事件查看器—windows 日志；如下
Windows日志
Windows日志中比较常查看的有系统日志、应用程序、安全日志这三个日志内容；
系统日志：一般记录系统异常引起的事件。
比如系统更新，内存资源不足等，在系统日志中都可以查看到。
带有“！”标示的是警告，一般不会严重影响使用，但比如“内存资源不足”等事件，多次警告，可能会导致主机卡慢或假死的
现象；
2.应用程序：一般记录服务器上安装的一些应用程序或系统默认程序的事件。
比如您的主机安装的站点服务，mysql ,PHP ,IIS 等相关的应用程序的事件记录；如
3.安全日志：一般记录服务器的登陆信息，或一些策略的审核事件；比如远程登录，如果是正常的登陆，会显示审核成功，如果是异常的，比如密码错误等，就会提示“审核失败”比如：
应用程序和服务日志
该路径包含Windows系统其它各类重要服务组件的事件日志。
例如，在路径Microsoft -> Windows ->TerminalServices-LocalSessionManager 的Operational 日志中记录了用户远程桌面的访问日志，可以通过该日志定位远程登录的相关问题。
三步一哨五步一岗病毒入侵我知道等
三步一哨五步一岗病毒入侵我知道等作者：李学昌来源：《电脑爱好者》2010年第12期目前木马猖獗,将系统弄得乱七八糟,很多操作都进入驱动级,杀毒软件的实时监控还能存活多久?如果能在电脑里布置好岗哨,随时监控电脑变化,那还不安全吗?下面以监控系统的驱动文件夹divers为例进行说明,如果没装驱动,这个目录却发生了变化,必然有问题了。
第1步:在运行中输入“gpedit.msc”,回车后打开组策略编辑器。
依次展开“计算机配置→Windows设置→安全设置→本地策略→审核策略”,找到并双击“审核对象访问”,从弹出的对话框里同时钩选“成功”、“失败”。
在此,能添加的审核策略还多,比如“审核过程跟踪”等,添加得越多,后面的系统日志也越复杂,筛选起来就越困难,考虑到这次的目的是监视对驱动文件夹divers 的访问,为此,只创建“审核对象访问”策略就行了。
第2步:右键单击C:\Windows\System32\drivers文件夹,选择“属性→安全→高级→审核→添加→高级→立即查找”,找到用户“Everyone”后单击“确定”。
接着,勾选“遍历文件夹/运行文件”后的“成功”与“失败”即可。
第3步:如果想得知电脑情况,在运行框时输入“eventvwr.exe”,回车打开“事件查看器→Windows日志→安全”,单击右侧“筛选当前日志”,在“关键字”中勾选“审核成功”和“审核失败”(见图1),确定后,日志就少了很多。
双击其中一条记录可对其进行详情查阅(见图2,名为LOW的用户在2010年6月2日12:45访问过我们要监视的divers文件夹),如果不是自己的操作,赶紧查毒。
试验时间:“小盆友”们过节的那天试验目的:为读者测试最新的Lubuntu10.04 是否值得一用试验方法:在一台品牌笔记本电脑上安装Lubuntu 10.04试验过程:利用光盘启动后,首先选择安装语言(提供65种语言),然后是光盘的功能菜单,提供了预览模式、安装、检测盘片错误、测试内存、从第一硬盘引导五个功能。
windows审计配置windows配置基本安全审核策略
windows审计配置windows配置基本安全审核策略Windows审计配置和基本安全审核策略是保证Windows系统安全性的关键措施之一。
本文将一步一步回答有关Windows审计配置和基本安全审核策略的问题，以帮助读者了解如何配置和管理其Windows系统的安全性。
第一部分：Windows审计配置1. 什么是Windows审计配置？Windows审计配置是一种将Windows操作系统的活动记录为安全事件的方法。
通过配置审计，可以捕获并记录用户、程序和系统活动，以便对安全违规事件进行检测，分析和响应。
2. 为什么需要Windows审计配置？Windows审计配置可以帮助管理员发现异常行为，如未经授权的访问、数据泄露、系统配置更改等。
它还为安全人员提供了重要的事件日志和审计信息，以便进行威胁检测、应急响应和合规要求的满足。
3. 如何配置Windows审计？以下是配置Windows审计的步骤：a) 打开“管理工具”菜单，找到“本地安全策略”。
b) 点击“安全设置”>“本地策略”>“审核策略”。
c) 选择要审计的事件类型，如登录/注销、特权使用、文件和目录访问等。
d) 选择要应用审计策略的对象，如计算机、用户组、文件夹等。
e) 点击“确定”保存配置。
第二部分：Windows配置基本安全审核策略1. 什么是Windows配置基本安全审核策略？Windows配置基本安全审核策略是一系列设置，旨在提高Windows系统的安全性。
它包括密码策略、账户策略、账户锁定策略等，以确保系统和用户的安全。
2. 为什么需要Windows配置基本安全审核策略？Windows配置基本安全审核策略是保护Windows系统免受恶意行为和未经授权访问的关键措施。
通过正确配置这些策略，可以增强密码和账户安全，防止未经授权的访问和防范各种攻击。
3. 如何配置Windows基本安全审核策略？以下是配置Windows基本安全审核策略的步骤：a) 打开“管理工具”菜单，找到“本地安全策略”。