所有審核事件都記錄在 Windows 安全事件日志中。這些事件通常都是無法立即對其采取操作的，實際上它們一般都屬于信息性內(nèi)容。對所發(fā)生的每個特定類型的訪問，每個事件都記錄一個簡單的“審核成功”或“審核失敗”。這不同于那些應用程序或系統(tǒng)事件日志，它們可通過彩色編碼來識別問題(提示：可通過查找紅色事件來追蹤問題)。

　　安全事件日志與此完全不同，因為審核的事件通常被其數(shù)量所掩蓋，并且如前所述，安全數(shù)據(jù)的關(guān)聯(lián)可能會帶來重大的挑戰(zhàn)。即使是單一系統(tǒng)上的簡單數(shù)據(jù)破壞也會成為問題。此時可能需要對安全事件日志加以分析，以確定哪個帳戶被用來訪問該數(shù)據(jù)，這就需要管理員回溯查看整個日志以嘗試找到該帳戶。遺憾的是，當今一些較為復雜的攻擊通常是協(xié)調(diào)、分散的，這使得受害者在進行此類分析時非常困難。

　　也就是說，了解使信息能夠記錄在 Windows 的安全事件日志中的以下關(guān)鍵要素非常重要：“審核策略”和“系統(tǒng)訪問控制列表”(SACL)。對于本地計算機而言，“審核策略”是可以通過“組策略”或“本地安全策略”進行配置的設置，可定義特定訪問類型的成功和失敗事件集合。以下主要“審核策略”類別在 Windows 中已存在多年(稍后在 Windows Server 2008 的新“Granular Audit Policy”中還會介紹更多策略)：

　　●審核帳戶登錄事件

　　●審核帳戶管理

　　●審核目錄服務訪問

　　●審核登錄事件

　　●審核對象訪問

　　●審核策略變更

　　●審核權(quán)限使用

　　●審核過程跟蹤

　　●審核系統(tǒng)事件

　　通常大多數(shù) IT 組織都非常了解定義“審核策略”的需求以及這些相關(guān)的類別，但是“審核策略”只代表其中一部分解決方案。 在實現(xiàn)全面審核計劃方面也扮演著一個重要角色。兩個特定的“審核策略”類別(審核目錄服務訪問和審核對象訪問)完全取決于 SACL 在安全事件日志中返回的信息。那么 SACL 究竟是什么?

　　每個對象(文件、注冊表或目錄服務)都有一個“訪問控制列表”(ACL)，其中包含一個或多個被分為以下兩種類型的“訪問控制項”(ACE)：“隨機訪問控制列表”(DACL) 和 SACL(后者定義的設置會記錄試圖對安全對象進行的訪問)。SACL 中的每個 ACE 都指定了應記錄在安全事件日志中的特定托管人的訪問嘗試類型。ACE 用來定義對指定對象的成功和/或失敗的訪問嘗試記錄。圖 1 顯示的是對某個對象使用 SACL 以生成特定訪問類型的事件。

最新評論