-- 作者：ynboyinkm
-- 时间：2006/8/22 2:06:46
-- 送你微软原装的“系统摄像头”
1.审核策略是什么
审核策略是Windows 2000及以后版本组策略中引入的一个安全机制。它可以用日志形式记录系统中已经被审核的事件，而系统管理员通过生成的日志文件，能轻易发现和跟踪发生在所管理区域内的可疑事件。比如:谁曾经访问过哪个文件、哪些非法程序入侵了你的电脑等。
2.如何开启“审核对象访问”策略
所有“审核策略”默认是没有打开的，需要手动开启。依次打开“控制面板→管理工具→本地安全策略”或在“开始→运行”中输入“secpol.msc”，打开组策略中的“本地安全设置”编辑器，依次定位到“本地策略→审核策略”，双击右侧窗格中的“审核对象访问”，勾选“成功”或“失败”即可(见图1)。
3.查看事件日志
设置了一则审核策略，还得通过事件查看器来获取信息。在“开始→运行”中输入“Eventvwr.msc”，接着定位到“事件查看器→安全性”，在右侧窗格中记录了许多“成功审核”、“失败审核”的安全性事件。通常情况记录的事件很多，可以对其进行筛选，依次选择“查看→筛选”，在“筛选器”选项卡下面的时间类型中只勾选“成功审核”和“失败审核”;而“事件来源”和“类别”可根据不同的审查对象和审查内容进行筛选，一般情况只需要查看560事件即可(见图2)。
4.使用审核策略的前提
实行审核策略的前提，首先是安装了Windows XP专业版(或Windows 2003)，要求审核的文件、文件夹和注册表项等必须位于NTFS文件系统分区，其次必须如上所述打开对象访问事件审核策略。符合以上条件，就可以对特定文件或文件夹进行审核，并且对哪些用户或组指定哪些类型的访问进行审核。
实战应用初探
实战任务1:商业间谍做了些什么？
任务描述:阿桂是一家IT公司的网管，最近，老板发现一些商业秘密不胫而走，他想在不让员工们知道的前提下，监控手下人什么时候访问过或使用了公司电脑中指定的磁盘或文件夹中的资料，比如:服务器“D:\data”文件夹。老板觉得小何最可疑，于是决定从监视他入手。
战前分析:公司员工每人都分配有一个不同账户(记得不能给他们修改策略设置的权限！)，只要监视选定账户或组对目标访问时，需要监视目标的访问权和执行权即可。开始前首先在“文件夹选项→查看”标签下取消“使用简单文件共享”。
第一步:在“审核策略”中双击右侧的“审核对象访问”，勾选“成功”，确认操作并退出编辑器。右击目标磁盘或文件夹选择“属性”，切换至“安全”选项卡，单击“高级”，切换至“审核”标签。
第二步:单击“添加”，输入小何使用的用户名，因为小何属于普通用户组(users)，所以输入“计算机名\users”，单击“确定”(见图3)。这时会弹出审核项目选择窗口，因为要监视小何对目标的“访问权和执行ā保虼艘囱 氨槔募?运行文件”(见图4)，确定所有操作。
第三步:这时策略已经完成了。现在可以试试是否有效。打开事件查看器，右击“安全性”选择“清空所有事件”后注销系统。这时，小何登录此系统，访问一下“D:\data”并执行其中一个文件(比如运行了存放在该目录底下的“MSN6.2.exe”文件)。注销系统后，阿桂用管理员身份登录，查看一下日志，是不是清楚地记录了刚才小何的访问行为(见图5)？
哈哈，证据在手，小何即使再聪明，也逃不过网管阿桂的火眼金睛。
实战任务2:我想知道是谁“绑架”了我的IE？
任务描述:相信你曾有过类似经历，家人经常用你的电脑上网，可是在你使用该电脑后发现IE的首页不知道被哪个恶心的家伙“绑架”了！虽然你可以恢复到原来样子，却不知道在哪家网站上遭的殃！怎么才能在下次IE被“绑架”时抓住真凶呢？
战前分析:我们知道修改IE首页，其实就是在注册表中添加一些键值，只要监视注册表中记录这些信息的键，找出“绑匪”应该不是什么难事了。
第一步:在“审核对象访问”中设置审核“成功”。打开注册表编辑器，找到[HKEY_CURRENT_USER\Software \Microsoft\Internet Explorer\Main]，右击“Main”项选择“权限”。
小提示
如果有必要也可把[HKEY_LOCAL_MACHINE \Software\Microsoft\Internet Explorer\Main]一并监视了。
第二步:单击“高级”，切换至“审核”，输入当前用户账户，在访问审核项目中勾选“设置数值”后应用此规则。
第三步:打开 http://www.cfan.com.cn，依次选择“工具→Internet选项”，在“常规”项下把当前页面设置为默认首页。这时，打开事件日志查看器，根据日志记录就轻易地找到了被修改了的注册表项目(见图6)。
实战任务3:怎么揪出注册表中的“内鬼”？
任务描述:一些软件在安装后在不提示用户的情况下就自动添加启动程序，更有甚者还附带木马程序！而这些可恶的行为通常是很难直观察觉的，那么怎么才能识别和揪出它们在注册表中所放置的“内鬼”呢？
战前分析:这个任务在本刊2004年第17期的《捉出注册表中的内鬼——注册表监听器》一文中有过介绍，该作者是通过许多注册表监控软件来完成的。其实用软件监视的原理就是对控制系统自启动组的注册表键值进行了监控，然后根据前后监控目标数据的变化来判断的，现在用“审核对象访问”策略完成这项任务。以安装MSN Messenger后，自动添加一个自启动项为例。
第一步:按同样方法，建立一个审查修改注册表中[HKEY_CURRENT_USER \Software\Microsoft\Windows\ CurrentVersion\Run]键的策略。
第二步:打开事件日志查看器清空一下列表，然后安装MSN Messenger。
第三步:再次打开日志查看器，在右侧窗口中就可以找到修改自启动的事件记录(见图7)。
附表:注册表中自启动程序的9个藏身之所
Load注册键 HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load
Userinit注册键 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit
ExplorerRun注册键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Current\Version\Policies\Explorer\Run
RunServicesOnce注册键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices\Once
和HKEY_LOCAL_MACHINESOFTWAREMicrosoft WindowsCurrentVersionRunServicesOnce
RunServices注册键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Services
RunOnceSetup注册键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceSetup
和HKEY_LOCAL_MACHINE\SOFTWARE \Microsoft\Windows\CurrentVersion\RunOnceSetup
RunOnce注册键 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
Run注册键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
|
|