登录  |  注册
当前位置：网站首页 > 更多 > 玩电脑 > 正文

[玩转系统] 要审核的前 4 个安全日志事件

作者：精品下载站 日期：2024-12-14 06:12:23 浏览：15 分类：玩电脑

要审核的前 4 个安全日志事件

在当今时代，任何将安全性置于其运营关注点首位的组织都需要制定审核策略。一般来说，此策略定义将监视的日志条目的类型、监视这些事件的频率，以及在彻底分析审计跟踪后检测到任何异常活动时将采取的操作计划。幸运的是，最新版本的 Windows 为我们提供了系统内活动的高度透明的视图；它们表明谁在做什么以及所有这些行为发生的时间。

在本文中，我将向您简要介绍跨工作站和整个域的事件日志中需要注意的四个关键区域以及所有这些区域背后的基本原理。

1. 审核系统日志中的成功和失败事件

这里的想法是识别正常时间内的使用模式，以便当恶意行为者试图访问您的系统时，您可以使用电子表格或其他分析软件检测他或她的行为，以识别超出范围的模式。常态。根据 Microsoft 的说法，系统成功和失败事件的数量通常很少，但往往会提供很高的信息价值，因此这些应该成为您可能部署的任何审核和分析方案的基石。

2. 在域控制器上查找策略更改成功事件

这些类型的事件表明系统上有人正在尝试更改本地安全机构 (LSA) 策略配置。这是入侵者尝试下载 Active Directory 数据库副本或在敏感域控制器中植入恶意软件的一种方式。这些政策改变成功事件的频率应该足够罕见，足以表明存在恶意活动。不幸的是，在正常的、完全未破坏的系统上通常会发生许多故障事件，因此监视故障事件的信噪比通常太低，不值得费心。

3.寻找账户管理的成功事件

这些事件是在创建、修改或删除用户以及创建、删除组或更改其成员身份时写入的。成功事件的组合是一个很好的取证手段，可以追踪目录的潜在违规行为，追溯到不法分子能够创建帐户或将现有帐户提升到高度特权状态的位置（例如，提升到域管理员）。

4. 检查登录类别中的成功事件

在个人计算机和域控制器上执行此操作。 对于个人工作站，这将为您提供用户何时登录和注销其计算机的记录。 （对于域上的成员服务器，无需监视成功事件，因为这些事件将通过监视域控制器上的成功事件来覆盖。）您可以通过检查日期和时间轻松追踪密码被盗或其他违规行为相关帐户的成功登录事件。

监视域控制器的登录成功事件会向您显示帐户何时登录和注销域。如果您使用 Active Directory，则可以以类似的方式使用此信息。当然，域或用户数量越大，写入的合法成功事件就越多，因此您需要制定保留策略，定义何时可以从审核系统中清除成功事件数据，以便它不会数据负担过重。

猜你还喜欢

您需要 登录账户 后才能发表评论

取消回复欢迎 你 发表评论:

精品推荐！
欢迎 访客 登录没有账号？
  • 最新文章
  • 热门文章
  • 热评文章
最新评论
    热门tag
    友情链接

    关灯