建站
咨詢
售后
建站咨詢
新聞中心
可從以下哪幾方面審計(jì)windows系統(tǒng)是否存在后門
1、可以從查看服務(wù)信息審計(jì)。
10年積累的成都做網(wǎng)站、成都網(wǎng)站設(shè)計(jì)經(jīng)驗(yàn)，可以快速應(yīng)對(duì)客戶對(duì)網(wǎng)站的新想法和需求。提供各種問題對(duì)應(yīng)的解決方案。讓選擇我們的客戶得到更好、更有力的網(wǎng)絡(luò)服務(wù)。我雖然不認(rèn)識(shí)你，你也不認(rèn)識(shí)我。但先做網(wǎng)站設(shè)計(jì)后付款的網(wǎng)站建設(shè)流程，更有洪澤免費(fèi)網(wǎng)站建設(shè)讓你可以放心的選擇與我們合作。
2、可以從查看驅(qū)動(dòng)信息審計(jì)。
3、可以從查看注冊(cè)表鍵值審計(jì)。
4、可以從查看系統(tǒng)日志審計(jì)等方面審計(jì)。
windows系統(tǒng)中可以通過什么進(jìn)行系統(tǒng)日志的審計(jì)
WindowsNT/2000的系統(tǒng)日志文件有應(yīng)用程序日志AppEvent.Evt、安全日志SecEvent.Evt、系統(tǒng)日志SysEvent.Evt，根據(jù)系統(tǒng)開通的服務(wù)還會(huì)產(chǎn)生相應(yīng)的日志文件。例如，DNS服務(wù)器日志DNS Serv.evt，F(xiàn)TP日志、WWW日志等。
日志文件默認(rèn)存放位置：%systemroot%\system32\config，默認(rèn)文件大小512KB。這些日志文件在注冊(cè)表中的位置為HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog，可以修改相應(yīng)鍵值來改變?nèi)罩疚募拇娣怕窂胶痛笮 ?/p>
概述
查看系統(tǒng)日志方法：開始→設(shè)置→控制面板→管理工具中找到的“事件查看器”，或者在【開始】→【運(yùn)行】→輸入 eventvwr.msc 也可以直接進(jìn)入“事件查看器”在“事件查看器”當(dāng)中的系統(tǒng)日志中包含了windows XP 系統(tǒng)組建記錄的事件，在啟動(dòng)過程中加載驅(qū)動(dòng)程序和其他一些系統(tǒng)組建的成功與否都記錄在系統(tǒng)日志當(dāng)中。
Wazuh功能——審計(jì) who-data
審核who-data
新版本3.4.0。
從3.4.0版本開始，Wazuh集成了一項(xiàng)新功能，可以從監(jiān)控文件中獲取who-data。
此信息包含對(duì)監(jiān)控文件進(jìn)行更改的用戶，以及用于執(zhí)行這些更改的程序名或進(jìn)程。
一、在Linux中審計(jì)who-data
who-data監(jiān)視功能使用Linux審計(jì)子系統(tǒng)獲取關(guān)于誰在監(jiān)視目錄中進(jìn)行了更改的信息。這些更改產(chǎn)生審計(jì)事件，這些審計(jì)事件由syscheck處理并報(bào)告給經(jīng)理。
1、配置
首先，我們需要檢查審計(jì)守護(hù)進(jìn)程是否安裝在我們的系統(tǒng)中。
在基于RedHat的系統(tǒng)中，Auditd通常是默認(rèn)安裝的。如果沒有安裝，我們需要使用以下命令進(jìn)行安裝:
# yum install audit
對(duì)于基于Debian的系統(tǒng)，請(qǐng)使用以下命令:
# apt install auditd
下一步是配置syscheck，以便在我們的ossec.conf文件的所選文件夾中啟用whodata監(jiān)視:
添加此配置后，我們需要重新啟動(dòng)Wazuh來應(yīng)用更改。
我們可以檢查是否應(yīng)用了用于監(jiān)視所選文件夾的審計(jì)規(guī)則。要檢查這一點(diǎn)，我們需要執(zhí)行以下命令
# auditctl -l | grep wazuh_fim
并檢查是否添加了規(guī)則
當(dāng)代理停止時(shí)，我們可以使用相同的命令檢查添加的規(guī)則是否已成功刪除。
2、警報(bào)字段
當(dāng)啟用whodata時(shí)，在FIM警報(bào)中接收到以下字段:
3、警報(bào)的例子
在下面的示例中，我們可以看到用戶Smith是如何向文件/etc/hosts.添加新IP的允許使用具有sudo權(quán)限的nano編輯器:
日志格式警告:
JSON格式的警告:
二、在Windows中審計(jì)who-data
1、它是如何工作的
who-data監(jiān)視功能使用Microsoft Windows審計(jì)系統(tǒng)獲取關(guān)于誰在監(jiān)視目錄中進(jìn)行了更改的信息。這些更改產(chǎn)生審計(jì)事件，這些審計(jì)事件由syscheck處理并報(bào)告給管理者。兼容大于Windows Vista的系統(tǒng)。
2、配置
要在whodata模式下啟動(dòng)監(jiān)視，必須正確配置要監(jiān)視的目錄的SACL。Wazuh在啟動(dòng)ossec.conf文件中標(biāo)記whodata="yes"的目錄時(shí)自動(dòng)執(zhí)行此任務(wù):
系統(tǒng)審計(jì)策略也需要正確配置。對(duì)于大多數(shù)受支持的Windows系統(tǒng)，這部分也是自動(dòng)完成的。如果您的系統(tǒng)優(yōu)于Windows Vista，但審計(jì)策略無法自配置，請(qǐng)參閱配置本地審計(jì)策略指南。
三、警報(bào)字段
啟用whodata時(shí)，將收到以下字段:
四、警報(bào)的例子
日志格式警告:
JSON格式的警告:
如何使用LC工具審計(jì)windows賬戶
LC工具不是審計(jì)工具，所以是無法進(jìn)行賬戶的審計(jì)的。
LC工具是安裝于Windows操作系統(tǒng)的電腦，用于打印機(jī)打印各類標(biāo)簽編碼的軟件。并可以用于審計(jì)。
“Microsoft帳戶”（也稱“微軟賬戶”，英文"MicrosoftAccount"）是以前的“WindowsLiveID”的新名稱。你的Microsoft帳戶是你用于登錄Outlook、OneDrive、WindowsPhone或XboxLive等服務(wù)的電子郵件地址和密碼的組合。
windows系統(tǒng)怎樣部署日志審計(jì)系統(tǒng)
微軟系統(tǒng)中任何關(guān)于如何限制或控制管理員權(quán)限的討論通常都會(huì)得到這樣的結(jié)果：你怎樣才能不把管理權(quán)限送給那些你不信任的人?這有一定道理，但是在沒有證據(jù)表明管理員做錯(cuò)了事情的情況下，如何才能正確判斷一個(gè)管理員是否值得信任呢?再者，你如何證明你的判斷呢?你不能剝奪一個(gè)域管理員太多權(quán)限，尤其是在每個(gè)域都要管理的多網(wǎng)域環(huán)境下，所以說有時(shí)候限制管理員的權(quán)利和授權(quán)活動(dòng)這項(xiàng)工作很難實(shí)現(xiàn)。輔助人員和供給人員通常也需要具有管理權(quán)利，而且有時(shí)政治需求還會(huì)需要更多的管理人員。所以，真正的問題是，你如何去審計(jì)一個(gè)管理員?雖然答案是只要啟用審計(jì)就行了，但是只是簡(jiǎn)單地啟用審計(jì)功能并不能解決所有的問題。舉例來說，我最近與許多管理員一起進(jìn)行了一項(xiàng)大型的活動(dòng)目錄部署活動(dòng)。他們有一個(gè)應(yīng)用程序，使用特定的用戶對(duì)象屬性提供對(duì)該應(yīng)用程序的連接。站在安全相關(guān)立場(chǎng)，他們發(fā)現(xiàn)管理員可以禁用審計(jì)功能，修改一些關(guān)鍵的屬性，并且可以對(duì)該應(yīng)用程序做壞事。然后該管理員可以重新啟用審計(jì)功能而不會(huì)被覺察---甚至WindowsServer2008R2的屬性審計(jì)功能也是如此。啟用審計(jì)功能的時(shí)候，系統(tǒng)可以記錄足夠的事件，從中可以看出誰改變了對(duì)象，以及誰改變了屬性。但是由于審計(jì)功能被禁用，所有這方面的證據(jù)都消失了。
新聞名稱：關(guān)于windows審計(jì)系統(tǒng)的信息
文章出自：http://www.dlmjj.cn/article/hgiojh.html
