深入Windows Server 2008的自我監(jiān)控

互聯(lián)網(wǎng) 發(fā)布時(shí)間：2009-07-02 01:35:12 作者：

　　為了親身體驗(yàn)Windows Server 2008系統(tǒng)與眾不同的試用感覺，相信很多用戶創(chuàng)建條件、強(qiáng)行為自己的計(jì)算機(jī)升級(jí)安裝了該系統(tǒng)。盡管該系統(tǒng)的運(yùn)行穩(wěn)定性以及安全防范性能得到了顯著提升，不過在Internet網(wǎng)絡(luò)病毒與木馬瘋狂肆虐的今天，Windows Server 2008系統(tǒng)仍然還會(huì)時(shí)刻受

　　手工生成目標(biāo)事件

　　考慮到任務(wù)計(jì)劃只能與具體的某件事件綁定在一起，為此要想利用任務(wù)計(jì)劃功能對(duì)目標(biāo)系統(tǒng)事件進(jìn)行自動(dòng)監(jiān)控報(bào)警，我們還需要手工創(chuàng)建一個(gè)與待監(jiān)控事件性質(zhì)一樣的具體事件記錄;例如，要手工生成系統(tǒng)登錄事件記錄時(shí)，我們只要在Windows Server 2008服務(wù)器系統(tǒng)桌面中依次單擊“開始”/“關(guān)機(jī)”選項(xiàng)，選中“待機(jī)”項(xiàng)目，單擊“確定”按鈕，將當(dāng)前系統(tǒng)注銷掉，之后重新以系統(tǒng)管理員賬號(hào)登錄一次Windows Server 2008服務(wù)器系統(tǒng)，當(dāng)系統(tǒng)登錄操作成功后，對(duì)應(yīng)系統(tǒng)的事件查看器程序就會(huì)自動(dòng)將這次登錄操作記錄下來了。

　　在查看具體的事件記錄時(shí)，我們可以在Windows Server 2008服務(wù)器系統(tǒng)桌面中用鼠標(biāo)右鍵單擊“計(jì)算機(jī)”圖標(biāo)，從彈出的快捷菜單中點(diǎn)選“管理”命令，打開對(duì)應(yīng)系統(tǒng)的計(jì)算機(jī)管理控制臺(tái)界面;

　　深入Windows Server 2008的自我監(jiān)控

圖2 事件屬性

　　其次在該管理控制臺(tái)界面的左側(cè)顯示區(qū)域，用鼠標(biāo)依次展開“診斷”/“事件查看器”/“Windows日志”/“安全”分支選項(xiàng)，在對(duì)應(yīng)“安全”分支選項(xiàng)的右側(cè)顯示區(qū)域，我們會(huì)看到事件ID為4625的系統(tǒng)登錄事件記錄，用鼠標(biāo)雙擊該事件記錄，打開如圖2所示的目標(biāo)事件屬性設(shè)置窗口，在該窗口的“常規(guī)”標(biāo)簽頁面中，我們發(fā)現(xiàn)系統(tǒng)自動(dòng)生成了賬戶登錄失敗事件，并且還能查看到究竟是哪一個(gè)用戶在哪一臺(tái)工作站上嘗試對(duì)本地Windows Server 2008服務(wù)器系統(tǒng)進(jìn)行登錄操作的，仔細(xì)分析這些信號(hào)，我們或許就能大概判斷出當(dāng)前是否有非法攻擊者在偷偷登錄本地服務(wù)器系統(tǒng)了。