图片 2

巧用事件查看器维护服务器安全

【谁登了我的电脑?教你如何查看Windows事件日志】,windows日志

来源:数据安全与取证(ID:Cflab_net)

原创:Wendy

出于工作需要,除了自己的Mac笔记本,Wendy还配了一个Windows台式机。笔记本随身携带倒没什么,但最近总觉得每次上班打开Windows台式机后跟前一天离开的时候不一样!但到处问也不是太好,只有自己动手查?。

好在不难,如果你刚好也有这种怀疑的话,赶快来和我一起实践一下!看看究竟有没有人偷偷登录过我们的电脑。

正文

我们都知道,电脑的任何活动都会留下痕迹的,这也是为什么我们能进行计算机取证。今天就给大家分享一个简单的方法,告诉你如何查看电脑的登录情况。

1. 右键“我的电脑”,选择管理,打开「事件查看器」;或者同时按下
Windows键 + R键,输入“eventvwr.msc”直接打开「事件查看器」。

2.
在「事件查看器」窗口,展开Windows日志,选择“安全”,登录日志就显示出来了。

3. 接下来你会在窗口中看到一个列表,包括 “关键字”、
“日期和时间”、“来源”、“事件ID”、“任务类别”。

每当用户执行了某些操作,审核日志就会记录一个审核项,我们可以审核操作中的成功尝试和失败尝试。

安全审核对于任何企业系统来说都极其重要,因为审核日志能记录是否发生了违反安全的事件如果检测到入侵,正确的审核设置所生成的审核日志则能包含有关入侵的重要信息

我们看到,任务栏里面能展示许多时间有关信息:登录时间、退出时间以及其他等等细节。

4.
筛选「事件ID」。在窗口的右栏里有筛选器,我们可以根据自己的情况有目的地筛选日志记录。

在我的情况中,需要筛选的事件ID是“4624”,这个ID表示成功登陆

在日志中,不同的登录情况有不同的事件ID编号,如“4672”表示有特殊权限的登录,这些编号是有规定的,大家自己可以去查查看哦。

5.
查看某一条登陆记录的详细信息。点击「详细信息」查看「友好视图」,如下图:

或者也可以查看「XML」视图:

这两个视图里包含了许多的信息!每一条信息都有其特定含义,而我在今天这篇文章里要分享的是「Logon
Type」,即登录类型
通过登录类型我们知道此次登录是在什么状态下登录的。

如上图中显示的 “LogonType 5” 是什么意思呢?我们来看一张表。

在这张表中不同数字对应不同类型的登录,而LogonType
5代表的就是电脑的后台服务以我的账户登录过。

此外,我在自己的电脑中还发现了许多2、3的登录类型,“2”表示我用键盘和鼠标登录,而“3”意味着有人曾经用远程登录过我的电脑——没错,我找到了下班时间悄悄远程登录的“嫌疑人”,就是必哥。?

是不是很赞?

学会查看Windows日志是一项很实用的技巧,经常应用在取证中,我们曾经在企业内部调查中通过Windows日志找到员工盗取文件的证据。

Windows日志包含的信息很多,今天分享的只是冰山一角,但它的实用性不言而喻,赶快实践一下吧!


  (2)在“运行”对话框中手工键入“%SystemRoot%system32eventvwr.msc
/s”打开事件查看器窗口。

  二、利用查看器解决系统问题

  (1)微软知识库。微软知识库的文章是由微软公司官方资料和微软MVP撰写的技术文章组成,主要解决微软产品的问题及故障。当微软每一个产品的Bug和容易出错的应用点被发现后,都将有与其对应的KB文章分析这项错误的解决方案。微软知识库的地址是:

  选中左边的树形结构图中的日志类型(应用程序、安全性或系统),右击“查看”,并选择“筛选”。日志筛选器将会启动.

  (3)系统日志

  系统日志中存放了Windows操作系统产生的信息、警告或错误。通过查看这些信息、警告或错误,我们不但可以了解到某项功能配置或运行成功的信息,还可了解到系统的某些功能运行失败,或变得不稳定的原因。

(二)维护服务器安全实例

  其他资源:

  图1 打开并查看系统日志

  要查询系统错误事件的解决方案,还有一个更好的地方:Eventid.net网站,地址是www.eventid.net。这个网站由众多微软MVP(最有价值专家)主持,几乎包含了全部系统事件的解决方案。

  4.多方复查

 

  (3)在运行中直接输入“eventvwr”或者“eventvwr.msc”直接打开事件查看器。

  点击“开始→运行”,输入eventvwr,点击“确定”,就可以打开事件查看器.

  (2)安全性日志

  如果系统中的事件过多,我们将会很难找到真正导致系统问题的事件。这时,我们可以使用事件“筛选”功能找到我们想找的日志。

图片 1

  选中事件查看器左边的树形结构图中的日志类型(应用程序、安全性或系统),在右侧的详细资料窗格中将会显示出系统中该类的全部日志,双击其中一个日志,便可查看其详细信息.在日志属性窗口中我们可以看到事件发生的日期、事件的发生源、种类和ID,以及事件的详细描述。这对我们寻找解决错误是最重要的。

  包含由应用程序或系统程序记录的事件,主要记录程序运行方面的事件,例如数据库程序可以在应用程序日志中记录文件错误,程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况,那么我们可以从程序事件日志中找到相应的记录,也许会有助于你解决问题。

  应用程序日志中存放应用程序产生的信息、警告或错误。通过查看这些信息、警告或错误,我们可以了解到哪些应用程序成功运行,产生了哪些错误或者潜在错误。程序开发人员可以利用这些资源来改善应用程序。

图片 2

无论是普通计算机用户,还是专业计算机系统管理员,在操作计算机的时候都会遇到某些系统错误。很多朋友经常为无法找到出错原因,解决不了故障问题感到困扰。事实上,利用Windows内置的事件查看器,加上适当的网络资源,就可以很好地解决大部分的系统问题。

  在“运行”中输入“eventvwr.msc”直接打开事件查看器,在该窗口中单击“系统”,如图1所示,单击窗口右边的类型进行排序,可以看到类型中有警告、错误等多条信息。

  安全日志中存放了审核事件是否成功的信息。通过查看这些信息,我们可以了解到这些安全审核结果为成功还是失败。

  图3 修复系统存在的安全隐患

  微软知识库的地址是:
Eventid.net网站:

  既然出现了LSA的匿名枚举,那么一定会存在登录信息,如图4所示,单击“安全性”查看事件属性,先针对“审核失败”进行查看,可以看到IP地址“211.99.226.9”的多次连接失败的审核信息。需要特别注意的是,事件查看器中记录的日志必须先在安全策略中进行设置,默认情况下不记录,只要启用审核以后才记录。然后依次查看审核成功的登录记录,如果发现该IP地址登录成功,那么还需要对系统进行彻底的安全检查,包括修改登录密码,查看系统时候被攻击者留下了后门。在本例中主要事件就是IP地址为211.99.226.9的服务器在进行密码攻击扫描,根据事件属性中提供的策略进行设置后,即可解决该匿名枚举的安全隐患。

  登录网站后,单击“Search
Events(搜索事件)”链接,出现事件搜索页面。根据页面提示,输入Event
ID(事件ID)和Event
Source(事件源),并单击“Search”按钮。Eventid.net的系统会找到所有相关的资源及解决方案。最重要的是,享受这些解决方案是完全免费的。当然,Eventid.net的付费用户则能享受到更好的服务,比如直接访问针对某事件的知识库文章集等。

  记录了诸如有效和无效的登录尝试等事件,以及与资源使用相关的事件,例如创建、打开或删除文件或其他对象,系统管理员可以指定在安全性日志中记录什么事件。默认设置下,安全性日志是关闭的,管理员可以使用组策略来启动安全性日志,或者在注册表中设置审核策略,以便当安全性日志满后使系统停止响应。

  微软知识库的文章是由微软公司官方资料和MVP(微软最有价值专家)撰写的技术文章组成,主要解决微软产品的问题及故障。

  (1)应用程序日志

  总体来说,在Windows操作系统中提供的事件日志机制为我们找出系统问题提供了快捷的方法,而官方和第三方等多种网络资源使我们能够迅速地解决这些问题。通过本文,希望读者能够充分利用这些资源,在以后系统出现问题时,能够自主地将它们解决。节省时间,节省金钱。