現(xiàn)在我們已經(jīng)了解了問(wèn)題所在，那么 Windows Server 2008 是如何幫助組織應(yīng)對(duì)這些挑戰(zhàn)的呢?Windows Server 2008 是第一個(gè)包含新的 Windows Eventing 6.0 事件子系統(tǒng)的服務(wù)器版本，它極大地改善了安全事件管理的前景。請(qǐng)注意，雖然我們此處重點(diǎn)討論的是 Windows Server 2008，但 95% 的新功能集也存在于 Windows Vista 中。

　　對(duì)于 Windows Eventing 6.0，很多人的第一個(gè)關(guān)注點(diǎn)都會(huì)是全新的用戶界面。新的“事件查看器 Microsoft 管理控制臺(tái)”(MMC) 管理單元提供了出色的概述和摘要頁(yè)面、靈活的自定義視圖以及功能大大增強(qiáng)的說(shuō)明文字。這些界面可幫助最終用戶或系統(tǒng)管理員查找事件信息，并可直接從“事件查看器”配置重要的事件日志選項(xiàng)。

　　常常會(huì)影響到事件日志中的安全數(shù)據(jù)的一個(gè)關(guān)鍵問(wèn)題是數(shù)據(jù)的保留。以前，“事件日志”子系統(tǒng)(包括所有日志)會(huì)面臨可伸縮性限制。如果超過(guò)了這些限制，整個(gè)子系統(tǒng)將停止記錄事件。但在 Windows Eventing 6.0 中則不然，組織現(xiàn)在只受可用磁盤空間數(shù)量的限制。不過(guò)要注意，過(guò)大的事件日志分析起來(lái)可能會(huì)非常麻煩，因?yàn)槊總€(gè)單獨(dú)的日志條目在過(guò)濾時(shí)都必須進(jìn)行評(píng)估，因此您可以干脆將日志保持在可管理的大小。

　　當(dāng)然，這仍允許 IT 管理員為許多系統(tǒng)的事件日志制定存檔計(jì)劃。為了在本地服務(wù)器級(jí)別對(duì)此提供幫助，在 Windows Eventing 6.0 中新增了一個(gè)功能，即選項(xiàng)“日志滿時(shí)存檔日志而不覆蓋事件”。在先前版本的 Windows 中，此選項(xiàng)只能通過(guò)修改 AutoBackupLogFiles 注冊(cè)表值直接進(jìn)行設(shè)置。盡管這提供了一種在本地存檔日志的機(jī)制，但是它并未提供隨時(shí)間推移來(lái)管理這些文件的解決方案，也未解決跨多系統(tǒng)時(shí)出現(xiàn)的聚合問(wèn)題?！皩徍耸占?wù)”沒(méi)有為此提供完整的解決方案，我們過(guò)一會(huì)兒將談到這一點(diǎn)。

　　新的界面只是一個(gè)開始。Windows Eventing 6.0 真正強(qiáng)大的功能在于新的 Windows Event Log 服務(wù)和底層的基于 XML 的引擎。這些組件提供了增強(qiáng)的可伸縮性、可訪問(wèn)性和各種管理選項(xiàng)。事件現(xiàn)在以靈活的 XML 格式進(jìn)行存儲(chǔ)，允許用戶自定義解決方案，無(wú)縫地植入此信息。

　　Windows Eventing 6.0 還提供將管理操作與特定事件相關(guān)聯(lián)的能力。這是通過(guò)將 Windows Event Collector 服務(wù)與 Task Scheduler 相集成，從而提供基于任務(wù)的事件記錄功能來(lái)實(shí)現(xiàn)的。這是 Task Scheduler 的一個(gè)新范例，以前它只能基于時(shí)間來(lái)觸發(fā)事件。“Attach Task to this Event”(將任務(wù)附加到此事件)向?qū)?位于 Windows Server 2008 Event Viewer 中，可在任意事件的上下文菜單中找到)為啟動(dòng)程序、發(fā)送電子郵件或顯示在任意時(shí)刻記錄的特定事件的消息提供了一種簡(jiǎn)便的方法。當(dāng)嘗試確定在環(huán)境中發(fā)生的獨(dú)立于特定安全事件的特定操作時(shí)，此功能可能會(huì)非常有用。例如，如果要審核在域控制器上對(duì)“Schema Update Allowed”注冊(cè)表項(xiàng)所做的變更，您可以創(chuàng)建一個(gè)任務(wù)，當(dāng)此注冊(cè)表項(xiàng)被修改時(shí)向指定的安全管理員發(fā)送一封電子郵件來(lái)通知他們。

　　除了收集和存儲(chǔ)大量事件條目這一新功能外，您現(xiàn)在還可以更加靈活地控制要在事件日志中記錄的事件。這是通過(guò)一個(gè)名為 Granular Audit Policy (GAP) 的新功能完成的。在以前版本的 Windows 中，九個(gè)主要審核類別常常會(huì)導(dǎo)致事件超載。這些頂級(jí)類別現(xiàn)在可通過(guò) 50 個(gè)精細(xì)子類別加以控制，每個(gè)都代表事件的一個(gè)相關(guān)子集。

　　這樣就可以從事件日志中過(guò)濾出非關(guān)鍵信息，而不會(huì)在類別級(jí)損失可視性。例如，如果在特定系統(tǒng)上只想監(jiān)視對(duì)注冊(cè)表而不是對(duì)文件系統(tǒng)的變更，以前只能選擇只報(bào)告“對(duì)象訪問(wèn)”類別中成功或失敗的項(xiàng)目。利用 GAP，您現(xiàn)在可以過(guò)濾出各種子類別(如“文件系統(tǒng)”、“認(rèn)證服務(wù)”以及“文件共享”)，并且可以只報(bào)告在“注冊(cè)表”子類別上發(fā)生的事件。要了解 Windows Server 2008 系統(tǒng)中 GAP 子類別的內(nèi)容，必須從提升的命令提示符下運(yùn)行 Auditpol 命令。要列出可用的 GAP 子類別，請(qǐng)鍵入以下內(nèi)容：

　　

auditpol /list /subcategory:*

　　要獲得您的系統(tǒng)中已配置的 GAP 子類別的列表，請(qǐng)鍵入：

　　

auditpol /get /category:*

　　請(qǐng)注意，GAP 不能通過(guò)標(biāo)準(zhǔn)的“組策略”用戶界面進(jìn)行配置，必須通過(guò) auditpol.exe 進(jìn)行管理。在 support.microsoft.com/kb/921469 上的知識(shí)庫(kù)文章中，介紹了在 Windows Server 2008 和 Windows Vista 系統(tǒng)中如何通過(guò)“組策略”來(lái)部署設(shè)置的指導(dǎo)原則。

最新評(píng)論