【IT專家網(wǎng)獨家】許多網(wǎng)絡病毒或木馬程序攻擊系統(tǒng)后，常常會偷偷修改系統(tǒng)登錄賬號，以便達到隱藏攻擊痕跡的目的!為了有效保護系統(tǒng)的運行安全性，我們應該想辦法及時將潛藏在系統(tǒng)中的各種網(wǎng)絡病毒或木馬程序“揪”出來，那么我們該如何才能在第一時間內(nèi)知道系統(tǒng)中的某個用戶賬號被偷偷修改了呢?盡管借助一些專業(yè)的安全工具可以輕松地做到這一點，不過在Windows Server 2008系統(tǒng)環(huán)境下，即使我們手頭沒有專業(yè)的安全工具幫忙，也能赤手空拳地將偷改賬號的“惡劣”事件捕捉到;我們只要利用Windows Server 2008系統(tǒng)事件查看器新增加的綁定任務功能，就能在第一時間內(nèi)知道系統(tǒng)中的某個用戶賬號被偷偷修改了!

　　大家知道，在舊版本系統(tǒng)環(huán)境下，我們常常會利用事件查看器來將一些影響系統(tǒng)安全運行的事件記錄下來，日后仔細分析這些安全日志內(nèi)容，我們就能從中找到潛藏在本地系統(tǒng)中的一些安全隱患了。不過，讓人遺憾的是，舊版本系統(tǒng)下的事件查看器程序只能記錄有安全威脅的操作事件，而無法及時向系統(tǒng)管理員發(fā)出安全警報信息，那樣一來系統(tǒng)管理員就無法在第一時間知道本地系統(tǒng)存在安全威脅。到了Windows Server 2008系統(tǒng)環(huán)境下，事件查看器程序的功能明顯增強，系統(tǒng)管理員可以為特定的系統(tǒng)事件綁定任務計劃，一旦系統(tǒng)日后發(fā)生特定的系統(tǒng)事件時，被綁定的任務計劃就能夠自動觸發(fā)運行。

　　利用這樣的功能，我們就能及時追蹤偷改賬號事件，并為偷改賬號事件綁定一個自動報警的任務計劃;一旦該事件發(fā)生時，自動報警的任務計劃就能被觸發(fā)執(zhí)行，到時我們聽到自動報警提示后，就能在第一時間知道系統(tǒng)中的某些用戶賬號被偷偷修改了。依照上面的分析，我們只要先在Windows Server 2008系統(tǒng)環(huán)境下修改系統(tǒng)審核策略，讓系統(tǒng)對賬號管理事件進行審核，確保事件查看器程序能夠自動記錄用戶賬號被偷偷修改的操作行為;之后，我們需要手工觸發(fā)一個修改用戶賬號的事件，并將自動報警任務計劃附加到修改用戶賬號事件上;如此一來，日后Windows Server 2008系統(tǒng)中有系統(tǒng)用戶賬號被偷偷修改時，自動報警的任務計劃自然就會被執(zhí)行了，系統(tǒng)管理員收到報警信息后就知道系統(tǒng)中發(fā)生了偷改賬號事件;到時，系統(tǒng)管理員就能立即采取針對性措施來查找安全隱患，保證在第一時間將系統(tǒng)隱患排除掉。

　　在默認狀態(tài)下，即使我們修改了某個系統(tǒng)用戶賬號的名稱，也不會從系統(tǒng)的事件查看器列表中看到對應的操作記錄，這是什么原因呢?其實很簡單，這是因為Windows Server 2008系統(tǒng)在默認狀態(tài)下并沒有自動記錄用戶賬號被修改的操作行為，我們必須修改Windows Server 2008系統(tǒng)的審核策略，才能讓事件查看器記錄用戶賬號被修改的事件。在對賬號管理事件進行審核時，我們可以按照如下步驟進行操作：

　　首先以系統(tǒng)管理員身份登錄進Windows Server 2008系統(tǒng)，單擊該系統(tǒng)桌面中的“開始”/“運行”命令，在彈出的系統(tǒng)運行文本框中輸入字符串命令“gpedit.msc”，單擊“確定”按鈕后，進入系統(tǒng)組策略編輯窗口;

　　其次在該編輯窗口的左側(cè)顯示窗格中，將鼠標定位于“計算機配置”節(jié)點選項上，再依次點選該節(jié)點下面的“Windows設置”/“安全設置”/“本地策略”/“審核策略”子項，在“審核策略”子項下面找到目標組策略選項“審核賬戶管理”，并用鼠標右鍵單擊該選項，從彈出的快捷菜單中選擇“屬性”命令，打開如圖1所示的目標組策略屬性設置窗口;

　　在該屬性設置窗口中的“本地安全設置”標簽頁面中，將“成功”復選項選中，再單擊“確定”按鈕，那樣一來Windows Server 2008系統(tǒng)就能對成功修改用戶賬號事件進行審核了。同樣地，我們也可以對修改用戶賬號失敗事件進行審核，讓事件查看器程序也自動記錄修改用戶賬號失敗的事件。

　　無論我們綁定什么任務到特定事件中，都需要先觸發(fā)一個操作事件，換句話說我們必須先將修改用戶賬號事件添加到事件查看器的列表中，之后才能將自動報警任務綁定到修改用戶賬號事件上。由于在上面已經(jīng)成功啟用了審核賬戶管理功能，只要我們手工修改系統(tǒng)中的某個用戶賬號，那么系統(tǒng)就會自動對修改賬號事件進行審核，并且將審核結(jié)果記錄在事件查看器中了。下面就是具體的實現(xiàn)步驟：

　　首先以系統(tǒng)管理員身份登錄進Windows Server 2008系統(tǒng)，依次單擊“開始”/“程序”/“管理工具”/“服務器管理器”命令，在彈出的服務器管理器窗口中，依次展開左側(cè)顯示區(qū)域中的“配置”/“本地用戶和組”/“用戶”分支選項;

　　其次在對應“用戶”分支選項的右側(cè)列表區(qū)域中，用鼠標右鍵單擊某個用戶賬號名稱，從彈出的快捷菜單中執(zhí)行“屬性”命令，打開目標用戶賬號的屬性設置對話框，在該對話框中我們可以任意修改目標用戶賬號的屬性信息，修改完畢后單擊“確定”按鈕關(guān)閉用戶賬號屬性設置對話框;

　　接著在服務器管理器窗口的左側(cè)顯示區(qū)域中，依次展開“診斷”/“Windows日志”/“安全”分支選項，在對應“安全”分支選項的右側(cè)顯示區(qū)域中，我們能夠非常清楚地看到與系統(tǒng)安全有關(guān)的事件記錄，通過對日期和時間序列進行排序，就能快速地找到先前修改用戶賬號的事件了(如圖2所示)。

圖2 事件查看

　　完成上面的各項準備工作后，我們現(xiàn)在就能把自動報警任務計劃附加到修改用戶賬號事件上了。選中如圖2所示的修改用戶賬號事件，并用鼠標右鍵單擊修改用戶賬號事件，從彈出的快捷菜單中執(zhí)行“將任務附加到此事件”命令，打開一個標題為創(chuàng)建基本任務的向?qū)гO置窗口，在這里我們可以將基本任務的名稱設置為“自動報警”，并單擊該設置窗口中的“下一步”按鈕;隨后，我們將從屏幕上看到一些確認信息，在檢查這些信息沒有錯誤之后，繼續(xù)單擊向?qū)гO置窗口中的“下一步”按鈕;

　　當向?qū)Т翱趶棾鱿Ｍ撊蝿請?zhí)行什么操作的提示時，我們會發(fā)現(xiàn)Windows Server 2008系統(tǒng)為用戶提供了三種報警方式，一種是啟動特定的應用程序，一種是發(fā)送電子郵件，還有一種是直接給用戶發(fā)送消息提示;在這里我們可以選中“顯示消息”選項(如圖3所示)，之后繼續(xù)單擊“下一步”按鈕，在其后彈出的向?qū)гO置窗口中設置好消息框的標題內(nèi)容以及詳細的消息內(nèi)容;例如，在這里我們可以將消息標題設置為“注意!有人偷改用戶賬號”，將消息內(nèi)容設置為“系統(tǒng)發(fā)現(xiàn)某用戶賬號被偷偷修改，請及時檢查系統(tǒng)安全性!”

圖3 創(chuàng)建基本任務

　　設置好上面的各項信息后，再單擊向?qū)гO置窗口中的“完成”按鈕，隨后屏幕上會自動出現(xiàn)一個提示窗口，告訴我們“任務查看器已經(jīng)創(chuàng)建好計劃的任務，若要修改該任務，請打開任務計劃程序”，單擊該提示窗口中的“確定”按鈕退出綁定自動報警任務設置操作。

　　到了這里，我們的Windows Server 2008系統(tǒng)就具有監(jiān)控偷改賬號事件的“本領(lǐng)”了;日后，Windows Server 2008系統(tǒng)中無論哪一個用戶賬號被偷偷修改，系統(tǒng)都會在第一時間向系統(tǒng)管理員發(fā)出“系統(tǒng)發(fā)現(xiàn)某用戶賬號被偷偷修改，請及時檢查系統(tǒng)安全性!”這樣的報警提示了。到時，系統(tǒng)管理員就能立即采取針對性措施來查找安全隱患，保證在第一時間將系統(tǒng)隱患排除掉。

最新評論