Просмотр журнала безопасности компьютера и отбора событий
1. Войдите в систему под любой учетной записью, входящей в группуАдминистраторы (Administrators).
2. Щелкните Пуск (Start), Панель управления (Control Panel), категориюПроизводительность и обслуживание (Performance And Maintenance) иАдминистрирование (Administrative Tools), затем дважды щелкните ярлыкПросмотр событий (Event Viewer).
3. В дереве консоли щелкните приложение (Application Log) и просмотрите его содержимое. Просмотрите описание нескольких событий, дважды щелкнув соответствующие записи.
4. В дереве консоли щелкните система (System Log) и просмотрите его содержимое. Просмотрите описание нескольких событий, дважды щелкнув каждую их соответствующих записей (рис. 4.5.).
Рис. 4.5 – Отображение журнала безопасности в окне утилиты Просмотр событий (Event Viewer)
Успешные попытки условно обозначены значком ключа, а неудачные – значком замка. Кроме того, указаны дата и время события, категория события и пользователь, действие которого вызвало данное событие. В колонке Категория(Category) отображается тип события, например доступ к объекту, управление учетными записями, доступ к службе каталогов или попытки регистрации в системе. Типы регистрируемых событий представлены в таблице 4.1.
Чтобы просмотреть дополнительную информацию о любом событии, щелкните название события и в меню Действие (Action) щелкните пункт Свойства(Properties).
5. В дереве консоли щелкните безопасность (Security Log) и просмотрите его содержимое. Просмотрите описания всех событий категории Отказ (Failure), дважды щелкая соответствующие записи, пока не найдете попытку доступа пользователя User2 к файлу C:\Audit\Audit.
6. В меню Вид (View) выберите пункт Фильтр (Filter).
На рис. 4.6 показаны параметры вкладки Фильтр (Filter).
Рис. 4.6 – Вкладка Фильтр (Filter) окна Свойства: Безопасность (System Properties) утилиты Просмотр событий (Event Viewer)
7. В диалоговом окне Свойства: Безопасность (Security Properties), в полеПользователь (User), введите User2 и щелкните ОК. Применение фильтра уменьшит число событий, которые придется просмотреть, чтобы найти нужное.
8. Дважды щелкните каждое из событий. Обратите внимание, что все они относятся к пользователю User2.
Настройка размера и содержимого файла журнала
1. В дереве консоли выберите элемент Система (System).
2. В меню Действие (Action) щелкните пункт Свойства (Properties).
3. В диалоговом окне свойств журнала выберите Затирать старые события по необходимости (Overwrite Events As Needed).
4. В поле Максимальный размер журнала (Maximum Log Size) измените максимальный размер журнала на 2048 кбайт и щелкните ОК. Теперь Windows XP Professional будет заполнять журнал, пока его объем не достигнет 2048 кбайт, а затем начнет затирать старые события по мере необходимости.
5. Закройте окно Просмотр событий (Event Viewer) и окно Администрирование (Administrative Tools).
Таблица 4.1 – Типы регистрируемых событий
Иденти-фикатор |
Категория |
Описание |
512 |
Системное событие |
Перезагрузка операционной системы |
513 |
Системное событие |
Завершение работы операционной системы (shutdown) |
514 |
Системное событие |
Загрузка пакета аутентификации |
515 |
Системное событие |
Запуск процесса аутентификации (в стандартной конфигурации WinLogon.exe) |
516 |
Системное событие |
Сбой при ретистрации одного или нескольких событий аудита1 |
517 |
Системное событие |
Очистка журнала аудита |
518 528 |
Системное событие Вход/выход пользователя \лз системы |
Загрузка пакета оповещения об изменениях в списке пользователей Пользователь успешно вошел в систему |
529 |
Вход/выход пользователя из системы |
Вход пользователя в систему запрещен -имя или пароль, введенные при входе в систему, некорректны |
530 |
Вход/выход пользователя из системы |
Вход пользователя в домен в данное время запрещен |
531 |
Вход/выход пользователя из системы |
Вход пользователя в систему запрещен -учетная запись пользователя заблокирована администратором |
532 |
Вход/выход пользователя из системы |
Вход пользователя в Домен запрещен -учетная запись пользователя автоматически заблокирована по достижении определенной даты |
533 |
Вход/выход пользователя из системы |
Вход пользователя в домен с данной рабочей станции запрещен |
534 |
Вход/выход пользователя из системы |
Данный тип (интерактивный, сетевой или сервисный) входа пользователя в систему запрещен |
535 |
Вход/выход пользователя из системы |
Вход пользователя в систему запрещен -пароль пользователя устарел |
536 |
Вход/выход пользователя из системы |
Пользователь не смог войти в домен из-за сбоев сетевых сервисов |
537 |
Вход/выход пользователя из системы |
Пользователь не смог войти в систему по какой-то другой причине |
538 |
Вход/выход пользователя из системы |
Пользователь успешно вышел из системы |
539 |
Вход/выход пользователя из системы |
Вход пользователя в систему запрещен -учетная запись пользователя автоматически заблокирована из-за превышения максимально допустимого количества попыток входа в систему с неверным паролем |
560 |
Доступ к объекту |
Пользователь попытался открыть объект |
561 |
Доступ к объекту |
Пользователь закрыл объект |
576 |
Использование опасных привилегий |
В маркере доступа пользователя присутствует опасная привилегия |
577 |
Использование опасных привилегий |
Предпринята попытка использования опасной привилегии при выполнении операции, не связанной с доступом к объектам3 |
578 |
Использование опасных привилегий |
Предпринята попытка использования опасной привилегии для получения доступа к объекту |
592 |
Запуск/завершение процессов |
Запуск нового процесса |
593 |
Запуск/завершение процессов |
Завершение процесса |
594 |
Запуск/завершение процессов |
Дублирование дескриптора (handle) объекта |
595 |
Запуск/завершение процессов |
Непрямой доступ к объекту |
608 |
Изменения в политике безопасности |
Субъекту предоставлена новая привилегия |
609 |
Изменения в политике безопасности |
У субъекта отнята привилегия |
610 |
Изменения в политике безопасности |
Установлены доверительные отношения с другим доменом |
611 |
Изменения в политике безопасности |
Доверительные отношения с другим доменом прекращены |
612 |
Изменения в политике безопасности |
Изменена политика аудита |
624 |
Изменения в списке пользователей2 |
Создана учетная запись нового пользователя |
625 |
Изменения в списке пользователей |
Изменен тип учетной записи |
626 |
Изменения в списке пользователей |
С учетной записи пользователя снята блокировка |
627 |
Изменения в списке пользователей |
Неудачная попытка изменить пароль пользователя |
628 |
Изменения в списке пользователей |
Удачная попытка изменить пароль пользователя |
629 |
Изменения в списке пользователей |
Учетная запись пользователя заблокирована |
630 |
Изменения в списке пользователей |
Учетная запись пользователя удалена |
631 |
Изменения в списке пользователей |
Создана новая глобальная группа |
632 |
Изменения в списке пользователей |
Пользователь добавлен в глобальную группу |
633 |
Изменения в списке пользователей |
Пользователь удален из глобальной группы |
634 |
Изменения в списке пользователей |
Глобальная группа удалена |
635 |
Изменения в списке пользователей |
Создана новая локальная группа |
636 |
Изменения в списке пользователей |
Пользователь добавлен в локальную группу |
637 |
Изменения в списке пользователей |
Пользователь удален из локальной группы |
638 |
Изменения в списке пользователей |
Локальная группа удалена |
639 |
Изменения в списке пользователей |
Произведены изменения в учетной записи локальной группы, не связанные с изменением членства пользователей в этой группе |
640 |
Изменения в списке пользователей |
Произведены изменения в списке пользователей, не связанные с редактированием учетных записей |
641 |
Изменения в списке пользователей |
Произведены изменения в учетной записи глобальной группы, не связанные с изменением членства пользователей в этой группе |
642 |
Изменения в списке пользователей |
Произведены изменения в учетной записи пользователя, не связанные с изменением типа учетной записи, пароля пользователя и членства пользователя в группах |
5. СОДЕРЖАНИЕ ПРОТОКОЛА
название работы;
цель работы;
ответы на контрольные вопросы
порядок действий по выполнению лабораторной работы;
выводы по результатам проделанной работы.