Windows 2000 审核和入侵检测

　　要维护真正安全的环境，只是具备安全系统还远远不够。如果总假设自己不会受到攻击，或认为防护措施已足以保护自己的安全，都将非常危险。要维护系统安全，必须进行主动监视，以检查是否发生了入侵和攻击。

　　很多方面都说明，监视和审核入侵非常重要，具体原因有：

　　本模块讲述如何审核环境，以便发现攻击并跟踪攻击。本模块还讲述了如何监视是否发生了入侵，如何使用入侵检测系统（入侵检测系统是专门为发现攻击行为而设计的软件）。

　　目标

　　使用本模块可以实现下列目标：

　　适用范围

　　本模块适用于下列产品和技术：

　　· Microsoft Windows 2000? 操作系统

　　如何使用本模块

　　使用本模块中的指南可启动监视体系，该体系将主动检测入侵和攻击。这样，您能在发生攻击时及早干预，并减少该事件的影响，降低组织受到严重损失的风险。

　　为了充分理解本模块内容，请：

　　· 阅读模块：对 Windows 2000 环境中发现的事件进行响应。

　　审核

　　在任何安全环境中，您都应主动监视以检查是否发生了入侵和攻击。如果总假设不会受到攻击，只是将安全系统放在那里，随后不执行任何审核工作，您将无法达到预期目标。

　　作为整体安全策略的一部分，您应确定适于所在环境的审核级别。审核过程应识别可能会对网络，或风险评估中已确定的有价值资源造成威胁的各种攻击（无论攻击成功或失败）。

　　当决定要审核多少内容时，切记审核的内容越多，生成的事件越多，发现严重事件就越困难。如果要审核大量内容，有必要考虑使用附加的工具来帮助筛选重要事件，这样的工具有 Microsoft Operations Manager (MOM) 等。

　　审核事件可分为两类：成功事件和失败事件。成功事件表明用户已成功获得某资源的访问权限，失败事件表明用户进行了尝试，但失败了。

　　失败事件十分有助于跟踪对环境进行的攻击尝试，成功事件则难以解释。虽然绝大多数成功审核事件只表明正常的操作，但获取了某系统访问权限的攻击者也会生成一个成功事件。通常，事件模式与事件本身同样重要。例如，一系列失败后的一次成功可能表示曾经的攻击尝试最终得到成功。

　　您应尽可能将审核事件与所拥有的相关用户的其他信息结合使用。例如，如果用户在休假，可选择用户不在时禁用其帐户，然后在重新启用帐户时再审核。

　　如何启用审核

　　使用组策略可在站点、域、组织单位 (OU) 或本地计算机级启用审核。审核策略位于：

　　计算机配置\Windows 设置\安全设置\本地策略\审核策略

　　通常情况下，应在 Microsoft Active Directory? 目录服务层次的较高级实现审核，这有助于保持审核设置的一致性。Contoso 在“成员服务器”和“域控制器”OU 级都实现了审核。

　　您可选择将一些服务器与域分隔。通过编辑本地计算机的组策略，或使用“Windows 2000 Server Resource Kit”中的 Auditpol.exe 实用程序，可在这些计算机上配置审核。

　　注意：要访问本地计算机的组策略，请启动 Microsoft 管理控制台 (MMC)，然后添加该组策略管理单元，这将使该本地计算机成为管理单元的焦点。

　　定义事件日志设置

　　审核所生成的每个事件都显示在“事件查看器”中。您应决定事件日志如何存储生成的事件。每个这样的设置都可直接在“事件查看器”中定义，或在组策略中定义。在本指南中，我们已在组策略中定义了“事件查看器”设置。

　　如果从组策略中删除“事件查看器”设置，则可在“事件查看器”中直接进行设置。但建议您在组策略中定义“事件查看器”设置，确保所有相似计算机中的设置一致。

　　在 Contoso 环境中，组策略的配置不是在安全日志达到容量时关闭组织中的系统。实际的系统配置是，根据需要覆盖事件日志。

　　要审核的事件

　　Microsoft Windows 2000 提供了几类安全事件的审核。当制定企业审核策略时，需决定是否包含如下类别的安全审核事件：

　　下面几节详细说明了特定类别在启用审核时返回的常见事件 ID。

　　注意：负责搜索和收集事件日志信息的工具将在本模块后的被动检测方法一节讨论。

　　登录事件

　　如果要审核登录事件（每次用户登录或注销计算机时都审核），则会在发生登录尝试的计算机的安全日志中生成一个事件。另外，当用户连接远程服务器时，远程服务器的安全日志中也会生成一个登录事件。登录事件是在登录会话和令牌分别被创建或损坏时创建的。

　　登录事件可用于跟踪服务器的交互式登录尝试，或调查从某特定计算机发起的攻击。成功的审核会在登录尝试成功时生成一个审核项。失败的审核会在登录尝试失败时生成一个审核项。

　　注意：登录事件既包括计算机登录事件，也包括用户登录事件。如果网络连接是从基于 Microsoft Windows NT 的计算机或基于 Windows 2000 的计算机进行尝试的，则会看到用于计算机帐户和用户帐户的单独事件日志项。基于 Windows 9x的计算机在目录中没有计算机帐户，不会为网络登录事件生成计算机登录事件项。

　　作为“成员服务器和域控制器基准策略”的一部分，应对成功和失败登录事件都启用审核。因此，应能在“安全事件日志”中看到交互式登录，以及连接到正在运行“终端服务”的计算机的“终端服务”登录的下列事件 ID。

　　表 1：安全事件日志中的登录事件

　　使用登录事件项可诊断下面的安全事件：

　　Contoso 监视大量的登录尝试失败和大量帐户锁定。在这样的环境中，由于一些合理的原因，常要让用户将终端服务会话保持断开状态。

　　帐户登录事件

　　当用户登录域时，这种登录在域控制器中处理。如果在域控制器中审核帐户登录事件，则会在验证该帐户的域控制器上记录此登录尝试。帐户登录事件是在身份验证程序包验证用户的凭据时创建的。只有使用域凭据，才会在域控制器的事件日志中生成帐户登录事件。如果提供的凭据为本地安全帐户管理器 (SAM) 数据库凭据，则会在服务器的安全事件日志中创建帐户登录事件。

　　因为帐户登录事件可能会记录在域的任何有效域控制器中，所以必须确保将各域控制器中的安全日志合并，以分析该域中的所有帐户登录事件。

　　注意：与登录事件相同，帐户登录事件既包括计算机登录事件，也包括用户登录事件。

　　作为“成员服务器和域控制器基准策略”的一部分，成功和失败的帐户登录事件都应启用审核。因此，应能看到网络登录和终端服务身份验证的下列事件 ID。

　　表 2：事件日志中的帐户登录事件

　　对于每个这样的事件，事件日志都会显示每个特定登录的详细信息。使用帐户登录事件项可诊断下面的安全事件：

　　Contoso 当前要监视数量巨大的失败域登录尝试。根据其环境的不同，其他一些事件无关紧要。配置这些设置时，他们确定的最好方法是，首先以一个相对较严格的设置开始，然后持续减少它的严格程度，直到一些非实质警告的数量减少。目前，他们监视的是 10 分钟时间段中发生 10 次失败登录的所有情况。这些数字在所有环境中可能都是不同的。

　　帐户管理

　　帐户管理审核用于确定何时创建、更改或删除了用户或组。这种审核可用于确定何时创建了安全主要对象，以及谁执行了该任务。

　　作为“成员服务器和域控制器基准策略”的一部分，帐户管理中的成功和失败都应启用审核。因此，应该会看到安全日志中记录的下列事件 ID。

　　表 3：事件日志中的帐户管理事件

　　使用安全日志项可诊断下面的帐户管理事件：

　　因为 Contoso 是一个较大的企业，所以每天有大量的帐户要维护。监视所有这些事件会导致环境中产生太多的警告，而这些警告不必全部进行合理的解决。

　　对象访问

　　在基于 Windows 2000 的网络中，使用系统访问控制列表 (SACL) 可为所有对象启用审核。SACL 包含了一个用户和组列表，其中用户和组等对象的操作都要进行审核。用户在 Windows 2000 中可操作的每个对象几乎都有一个 SACL。这些对象包括 NTFS 文件系统驱动器上的文件和文件夹、打印机和注册表项。

　　SACL 由访问控制项 (ACE) 组成。每个 ACE 包含三部分信息：

　　如果要在安全日志中显示事件，必须首先启用“对象访问审核”，然后为要审核的每个对象定义 SACL。

　　Windows 2000 中的审核是在打开一个到对象的句柄时生成的。Windows 2000 使用一个内核模式的安全子系统，这种系统只允许程序通过内核访问对象。这会防止程序尝试绕过安全系统。因为内核内存空间是与用户模式程序相隔离的，所以程序是通过一个称为句柄的数据结构引用对象的。下面是一个典型的访问尝试：

　　要注意的重要一点是，当发生审核并生成事件时，尚未对该对象发生任何操作。这对于解释审核事件至关重要。写入审核是在文件被写入之前生成的，读取审核则在文件被读取之前生成。

　　与所有审核一样，务必采取一个针对目标的方式来审核对象访问。在审核计划中，应决定必须审核的对象类型，然后确定每种类型的审核对象，希望监视哪些类型的访问尝试（成功、失败，还是两者兼有）。审核的范围过宽会对系统性能产生明显的影响，并会使收集的数据过多，远远超过必要或有用的程度。

　　通常情况下，您希望审核对所选择对象的所有访问，其中包括来自非信任帐户的访问。为此，请在审核对象的 SACL 中添加“Everyone”组）。您应了解，如果按照这种方式审核成功的对象访问，可能会在安全日志中产生非常多的审核项。然而，如果要对重要文件的删除进行调查，则必须检查成功审核事件，以确定哪个用户帐户删除了该文件。

　　“成员服务器和域控制器基准策略”的设置是既审核成功对象访问也审核失败事件。但是，这些对象本身不会设置任何 SACL，需要根据环境的需要设置这些内容。SACL 可以直接在对象上定义，也可以通过组策略定义。如果要审核的对象存在于多个计算机上，则应在组策略中定义这些 SACL。

　　审核对象访问会导致安全日志显示下列事件。

　　表 4：事件日志中的对象访问事件

　　如果要查找特定的对象访问事件，主要需研究事件 ID 为 560 的事件。该事件详细信息中有一些有用的信息，请搜索该事件的详细信息，找出正在搜索的特定事件。下表显示了一些可能要执行的操作，以及如何执行这些操作。

　　表 5：如何执行对象访问事件 560 的主要审核操作

　　Contoso 不专门监视任何对象访问事件，但要审核某些文件的对象访问。此信息对于响应一个安全事件尤其有用。

　　目录服务访问

　　Active Directory 对象有相关联的 SACL，因此可进行审核。正如前面提到的，审核帐户管理可审核 Active Directory 用户和组帐户。但是，如果想审核其他命名上下文中对象的修改（如配置和架构命名上下文），必须审核对象访问，然后为要审核的特定容器定义 SACL。如果 Active Directory 对象 SACL 中列出的用户要尝试访问该对象，就会生成审核项。

　　您可以使用 ADSIEDIT MMC 管理单元来修改配置命名上下文（和其他命名上下文）中容器和对象的 SACL。过程如下：在 ADSIEDIT 控制台中显示所需的上下文，然后在“高级安全设置”对话框中修改该对象的 SACL。

　　由于发生了大量事件（通常都是些无关紧要的事件），所以很难找出目录服务访问的特定事件。因此，“成员服务器和域控制器基准策略”只审核目录服务访问的失败事件。这有助于弄清攻击者何时尝试对 Active Directory 进行了未授权访问。

　　尝试的目录访问在安全日志中将显示为一个 ID 为 565 的目录服务事件。只有通过查看安全事件的详细信息，才能确定该事件与哪个对象相对应。

　　Contoso 不专门监视任何目录服务访问事件，但要审核某些文件的对象访问。此信息对于响应一个安全事件尤其有用。

　　特权使用

　　当用户在信息技术 (IT) 环境中工作时，他们将运用所定义的用户权限。如果审核特权使用的成功和失败，每次用户尝试运用用户权限时都会生成一个事件。

　　即使真的要审核特权使用，也并非所有的用户权限都会审核。在默认情况下，不包括下列用户权限：

　　您可以在组策略中启用“对备份和还原权限的使用进行审核”安全选项，从而覆盖不审核“备份”和“还原”用户权限的默认行为。

　　审核成功的特权使用会在安全日志中产生大量的项。因此，“成员服务器和域控制器基准策略”只会审核失败的特权使用。

　　如果启用了特权使用审核，将生成下列事件。

　　表 6：事件日志中的特权使用事件

　　下面是使用某些特定用户权限时，可能存在的一些事件日志项示例：

　　Contoso 专门监视表明正常关机或从远程系统强制关机的所有事件，以及表明已修改了审核和安全日志的所有事件。

　　进程跟踪

　　如果要审核基于 Windows 2000 计算机中运行的进程的详细跟踪信息，事件日志会显示创建进程和结束进程的尝试。它还会记录进程尝试生成对象句柄的行为，或获取对象间接访问的行为。

　　由于生成的审核项很多，所以“成员服务器和域控制器基准策略”不会启用进程跟踪审核。但是，如果选择审核成功和失败，则事件日志中会记录下列事件 ID。

　　表 7：事件日志中的进程跟踪事件

　　Contoso 不监视任何进程跟踪事件，并且不在任何服务器策略中启用这些监视。

　　系统事件

　　系统事件是在用户或进程更改计算机环境的部分内容时生成的。您可以审核对系统进行更改的尝试，如关闭计算机或者更改系统时间。

　　如果审核系统事件，还应审核何时清除了安全日志。这非常重要，因为攻击者常会尝试在对环境进行更改之后清除他们的行踪。

　　“成员服务器和域控制器基准策略”会审核系统事件的成功和失败。这会在事件日志中生成下列事件 ID。

　　表 8：事件日志中的系统事件

　　您可以使用下面这些事件 ID 来获取部分安全问题：

　　Contoso 监视了计算机关机或重新启动，以及安全日志的清除操作。

　　策略更改

　　审核策略定义了要审核哪些环境更改，这可帮助您确定是否存在攻击环境的企图。但有心的攻击者会设法更改该审核策略本身，以便不被审核所进行的任何更改。

　　如果要审核策略更改，则将显示更改审核策略的尝试，以及对其他策略和用户权限的更改尝试。“成员服务器和域控制器基准策略”会审核策略更改的成功和失败。您会在事件日志中看到记录的下面这些事件。

　　表 9：事件日志中的策略更改事件

　　此处要查找的两个最重要的事件为事件 ID 608 和 609。一些攻击尝试可能会导致记录这些事件。如果分配了用户权限，下面的示例都会生成事件 ID 608，如果删除了用户权限，则都生成事件 ID 609。在每种情况下，事件详细信息都会包括该用户权限分配到的特定 SID，以及分配该权限的安全主要对象的用户名：

　　注意：这些审核事件只是表示该用户权限分配到了某个特定的安全主要对象。它并不表示该安全主要对象使用该用户权限执行了任务。审核事件却可以确定何时修改了用户权限策略。

　　Contoso 要监视所有策略更改事件。这些事件可用于进行任何故障排除或事件响应。

　　监视组策略的更改可能非常困难，并会提供大量的非实质性警告。这主要是因为，用于编辑组策略的 MMC 管理单元 gpedit.msc 总是既带有读取权限又带有写入权限打开策略。即使没有对策略进行更改，也会向域控制器的安全日志写入策略事件 578，如下所示。

　　组策略管理控制台（在 Windows Server 2003 发布后不久以免费下载软件形式发布）允许授权用户无需在 gpedit.msc 中打开组策略设置即查看这些设置，从而帮助客服这些问题。有关组策略管理控制台的详细信息，请参考：http://www.microsoft.com/windowsserver2003/gpmc/gpmcwp.mspx（英文）。

　　保护事件日志

　　要确保维护事件日志项以便将来参考，应采取一些步骤来保护事件日志的安全。这些步骤包括：

　　Contoso 在“成员服务器和域控制器组策略对象”中实现了这些设置。

　　除了上述步骤之外，您还应采取一些可行的措施，以确保事件日志信息尽可能最安全：

　　· 确保安全计划包括所有服务器的物理安全性，防止攻击者获取对于在其中执行审核的计算机的物理访问。攻击者可能会通过修改或删除本地磁盘子系统上的物理 *.evt 文件，来删除审核项。

　　· 请实现一种方法，以删除与该物理服务器不同位置中的事件日志，或将这些事件日志存储在与该物理服务器不同的位置中。这可能包括使用“任务计划”将事件日志写入 CD-R 或者一次写入定期读取的很多媒体中，或写入与该服务器不同的其他网络位置中。如果这些备份被复制到外部媒体（如备份磁带或者 CD-R 媒体），则在发生火灾或其他自然灾难时，该媒体应能从所处位置取出。

　　注意：防止对事件日志进行来宾访问只能限制非域成员访问这些事件日志。在默认情况下，域中的所有用户都可访问系统日志和应用程序日志。只有安全日志的访问受到限制。指定了“Manage auditing and security log”（管理审核和安全日志）用户权限的安全主要对象可访问安全日志。在默认情况下，此用户权限只分配给管理员和 Exchange 企业服务器。

　　其他最佳审核方法

　　除了配置审核之外，还应实现一些其他方法，从而有效审核服务器环境的安全性。这些方法包括：

　　安排定期复查事件日志

　　正如上面提到的，安全日志及可能生成的其他事件日志应写入可移动材料中，或合并到一个中心位置以便于进行复查。复查这些日志经常被人们遗漏。

　　Contoso 已完成了大量的工作，确保有一人或一个部门负责将复查事件日志作为定期的任务来执行。这样的事件日志复查可安排为每天一次，也可安排为每周一次，具体取决于安全日志中收集的数据数量。通常，这根据网络中实现的审核级别而定。审核中包括的事件越多，日志项的数量就越多。如果安排了定期的事件日志复查，则有助于达到以下目标：

　　复查其他应用程序日志文件

　　除了复查安全事件的 Windows 2000 事件日志之外，还应复查应用程序生成的日志。这些应用程序日志可能包括一些有关潜在攻击的有价值的信息，可以对事件日志中的信息进行补充。根据环境的具体情况，可能需要查看一个或多个下面的日志文件：

　　注意：所有维护日志文件的计算机都应使用经过同步的时钟。这使管理员能将计算机和服务器之间的事件进行比较，以确定攻击者采取了哪些操作。有关时间同步的更多详细信息，请参考本模块后面的时间同步的重要性一节。

　　监视安装的服务和驱动程序

　　很多针对计算机的攻击通过攻击安装在目标计算机上的服务，或将有效的驱动程序替换为包括特洛伊木马的驱动程序版本，从而使攻击者能访问目标计算机达到攻击的目的。

　　下面的工具可检查计算机上安装的服务和驱动程序：

　　注意：并非所有服务（如工作站服务）都可以直接停止，但您可以查询所有的服务。如果用户有很多活动的连接，则不能远程强制关闭该服务，但可以暂停或查询该服务。有些服务有另外一些依赖于它们的服务；尝试关闭这样的服务可能会失败，除非这些具有依赖性的服务首先进行了关闭。

　　监视打开的端口

　　攻击首先是从执行端口扫描以识别在目标计算机上正在执行任何已知服务开始的。您应该确保仔细监视服务器上打开的那些端口，这通常表示您在自己扫描这些端口来确定哪些端口可以访问。

　　扫描端口时，应既在该目标计算机本地执行，也在远程计算机上执行。如果可以从公共网络访问该计算机，则应从外部计算机执行端口扫描，以确信防火墙软件只允许访问所需的端口。

　　Netstat.exe 是一个命令行实用程序，可以显示为传输控制协议 (TCP) 和用户数据报协议 (UDP) 打开的所有端口。Netstat 命令使用下列语法：

　　NETSTAT [-a] [-e] [-n] [-s] [-p proto] [-r] [interval]

　　其中：

　　当列出本地计算机上打开的 TCP 和 UDP 端口时，端口号将根据 \%WinDir%\System32\Drivers\Etc\ 文件夹中这些服务文件中的项目转换为名称。如果只想看到端口号，可以使用 -n 参数。

　　如果发现的任何打开端口是不可识别的，则应对它们进行研究，确定相对应的服务在该计算机上是否必需。如果不必需，应禁用或删除这个相关联的服务，以防止计算机侦听该端口。在本指南介绍的“成员服务器和域控制器基准策略”中已禁用了一些服务。

　　因为很多服务器都是由防火墙或数据包筛选路由器保护的，所以建议从远程计算机执行端口扫描。很多第三方工具（包括免费软件）都可用于执行远程端口扫描。远程端口扫描可揭示当外部用户尝试连接该计算机时，哪些端口可用于这些外部用户。

　　注意：端口扫描还可用于测试入侵检测系统，确保该系统能在发生端口扫描时检测到该扫描。有关入侵检测系统的详细信息，请参考本模块后面的主动检测方法一节。

　　监视入侵和安全事件

　　监视入侵和安全事件既包括被动任务也包括主动任务。很多入侵都是在发生攻击之后，通过检查日志文件才检测到的。这种攻击之后的检测通常称为被动入侵检测。只有通过检查日志文件，攻击才得以根据日志信息进行复查和再现。

　　其他入侵尝试可以在攻击发生的同时检测到。这种方法称为“主动”入侵检测，它会查找已知的攻击模式或命令，并阻止这些命令的执行。

　　此节内容将讲述可用于实现这两种形式的入侵检测，以保护网络免受攻击的工具。

　　时间同步的重要性

　　监视多个计算机之间的入侵和安全事件时，这些计算机时钟同步是至关重要的。经过同步的时间使管理员能再现针对多个计算机进行攻击时所发生的操作。如果没有同步的时间，则很难准确确定何时发生了特定的事件，以及这些事件是如何交错发生的。

　　被动检测方法

　　被动入侵检测系统包括事件日志和应用程序日志的手动复查。这种检查包括对事件日志数据中的攻击模式进行分析和检测。目前有若干工具、实用程序和应用程序都可帮助复查事件日志。此节简要讲述了如何使用每个工具来整理信息。

　　事件查看器

　　Windows 2000 安全日志当然可以使用 Windows 2000 事件查看器 MMC 控制台进行查看。事件查看器允许查看应用程序日志、安全日志和系统日志。您可以在事件查看器中定义一些筛选器，以找出特定的事件。

　　· 在事件查看器中定义筛选器

　　在“属性”对话框的“筛选器”选项卡中，可定义下列属性来筛选事件项：

　　应用该筛选器时，经过筛选的事件列表可导出为逗号分隔列表，或 Tab 符号分隔列表。整个列表则可导入一个数据库应用程序。

　　正如上面提到的，Contoso 每个负责复查事件日志的管理角色都有几位成员。作为上述成员的一部分，他们会每天复查一次这些日志，找出与事件相关的监视系统没有记录的任何安全信息。

　　转储事件日志工具 (Dumpel.exe)

　　转储事件日志是一种命令行工具，位于“Windows 2000 Server Resource Kit, Supplement One”（Microsoft Press，ISBN: 0-7356-1279-X）。该工具会将本地系统或者远程系统的事件日志转储到一个以 Tab 符号分隔的文本文件中。然后，可将此文件导入一个电子表格或数据库中，用于进一步研究。该工具还可用于筛选或筛选出一些特定的事件类型。

　　Dumpel.exe 工具使用的语法如下：

　　dumpel -f file [-s \\server] [-l log [-m source]] [-e n1 n2 n3...][-r] [-t]

　　[-d x]

　　其中：

　　注意：Dumpel 只能从系统日志、应用程序日志和安全日志文件中检索内容。您不能使用 Dumpel 查询文件复制服务、域名系统 (DNS) 或者目录服务事件日志中的内容。

　　EventCombMT

　　EventCombMT 是一种多线程工具，该工具会同时分析来自很多服务器的事件日志，同时为搜索条件中的每个服务器产生一个单独的执行线程。EventCombMT 包括在“Microsoft Windows Server 2003 Resource Kit Tools”中，有关详细信息，请参考：

　　此工具使您能够：

　　安装工具

　　要安装工具，请将本指南包括的自解压 SecWin2k.exe 文件中的内容进行解压缩。这将创建一个 C:\SCI\scripts\EventComb 文件夹。一旦解压缩这些文件，可以通过双击 EventCombMT.exe 文件来运行 EventCombMT 工具。

　　运行 EventComb 工具

　　使用 EventComb 工具的第一步是定义哪些计算机将包括在事件日志搜索中。

　　· 将计算机添加到搜索中

　　1. 在 EventCombMT 实用程序中，确保域框中自动检测到正确的域。如果想搜索另一域中的事件日志，应在“Domain”（域）框中手动键入这个新的域名。

　　2. 要将计算机添加到搜索列表中，右键单击“Select To Search/Right Click to Add”（选择进行搜索/右键单击进行添加）下面的框。弹出菜单如下图所示：

图 1

　　使用 EventCombMT 对话框设置添加未自动检测到搜索列表中的计算机

　　可以使用下列选项：

　　3. 一旦将服务器添加到列表中，必须选择针对哪些服务器执行搜索。选择之后，该服务器在该列表中将突出显示。可以在按住 Ctrl 键的同时点击，以选择多个服务器。

　　指定要搜索的事件日志和事件类型

　　一旦选择了要包括在事件日志搜索中的服务器，可以通过选择包括哪些事件日志和事件类型类缩小搜索范围了。

　　在 EventCombMT 实用程序中，可从下列事件日志中选择用于搜索的日志：

　　您还可以选择在搜索中包括下列事件类型：

　　注意：如果了解事件日志具体包括哪个事件 ID，以及事件 ID 的事件类型，请始终将该信息包括在搜索条件中，因为这可缩短搜索时间。

　　保存搜索

　　EventCombMT 允许您保存搜索，并在日后重新加载这些搜索。如果常用 EventCombMT 在 IIS 服务器中搜索一组事件，在域控制器中搜索另一组事件，则保存搜索非常有用。

　　搜索条件保存在注册表的下列内容中：

　　HKLM\Software\Microsoft\EventCombMT ，您可轻松编辑。

　　搜索结果文件

　　搜索结果在默认情况下保存在 C:\Temp 文件夹中。这些结果包括一个名为 EventCombMT.txt 的摘要文件。事件日志搜索中包括的每个计算机都会生成一个名为 ComputerName-EventLogName_LOG.txt 的单独文本文件。这些单独文本文件包含从符合搜索条件的事件日志中抽取的所有事件。

　　使用 EventCombMT 的示例

　　为了显示如何使用 EventCombMT，我们将显示如何对该工具进行配置，从而检测域控制器的重新启动和帐户锁定。

　　· 使用 EventCombMT 搜索域控制器的重新启动

1.	在 EventCombMT 工具中，确保该域配置了正确的域名。
2.	在该域名下面的“Select to Search/Right Click to Add”（选择进行搜索/右键单击进行添加）框中，右键单击该框，然后单击“Get DCs in Domain”（获取域中的 DC）。 注意：搜索类似帐户登录和帐户管理这样的事件时，请确保搜索所有域控制器。因为 Windows 2000 的帐户管理使用多主机模型，所以可在域中的任何域控制器上添加、修改或删除帐户。同样，身份也可由域中的任意域控制器来验证。正因为如此，您不能准确确定在哪里发生了特定的更新或身份验证尝试。
3.	右键单击“Select to Search/Right Click to Add”（选择进行搜索/右键单击进行添加）框，然后单击“Select All Servers in List”（选择列表中的所有服务器）。
4.	在该工具搜索部分的“Choose Log Files”（选择日志文件）中，仅选择“System”（系统）日志。
5.	在该工具的“Event Types”（事件类型）部分，选择“Error and Informational”（错误和信息性）。
6.	在“Event IDs”（事件 ID）框中，键入下列事件 ID：1001 6005 6006 6008。
7.	单击“Search”（搜索）按钮前，确保搜索条件按照下图定义，然后单击“Search”（搜索）。 width=479 border=0 taggedby="hylanda"> 图 2 在 Event Comb MT 对话框中定义搜索条件

　　完成搜索时，可在日志目录中查看结果，该目录应在搜索完成时自动打开。

　　· 复查日志项

1001,INFORMATIONAL,Save Dump,Wed Nov 28 05:45:50 2001,,（1001，信息，保存转储，2001 年 11 月 28 日星期三 05:45:50）The computer has rebooted from a bugcheck.（计算机已根据检测错误重新启动。）The bugcheck was:（检测错误是：）0x000000d1 (0x00000004, 0x00000002, 0x00000000, 0x84c983dc). A dump was saved in: C:\WINDOWS\MEMORY.DMP.（转储保存在下列位置：C:\WINDOWS\MEMORY.DMP。）6005,INFORMATIONAL,EventLog,Wed Nov 28 05:45:46 2001,,（6005，信息，事件日志，2001 年 11 月 28 日星期三 05:45:46）The Event log service was started.（事件日志服务已启动。）6008,ERROR,EventLog,Wed Nov 28 05:45:46 2001,,（6008，错误，事件日志，2001 年 11 月 28 日星期三 05:45:46）The previous system shutdown at 5:33:47 AM on 11/28/2001was unexpected.（上一次系统在 2001 年 11 月 28 日星期三上午 5:33:47 意外关闭）。6005,INFORMATIONAL,EventLog,Tue Nov 27 14:10:53 2001,,The Event log service was started.（6005，信息，事件日志，2001 年 11 月 27 日星期二14:10:53，事件日志服务已启动。）6006,INFORMATIONAL,EventLog,Tue Nov 27 14:09:26 2001,,（6006，信息，事件日志，2001 年 11 月 27 日星期二 14:09:26）The Event log service was stopped.（事件日志服务已停止。）6005,INFORMATIONAL,EventLog,Tue Nov 27 10:11:37 2001,,The Event log service was started.（6005，信息，事件日志，2001 年 11 月 27 日星期二 10:11:37，事件日志服务已启动。）

　　6006 事件表明一个有关闭域控制器权限的用户启动了一次计划关机。6005 事件表明事件日志服务已启动。此事件发生在启动时。

　　6008 和 1001 事件表明该计算机在没有关机的情况下被切断电源，或因为被锁定而重新启动，或遇到了一个停止错误。如果存在 1001 事件，说明发生了一个停止错误，其中包含相关的调试信息和对该调试文件的引用。

　　EventCombMT 工具返回的这些事件应使用已知的宕机时间进行交叉检查，不匹配的事件应加以研究，以确保该服务器没有被攻击。

　　EventCombMT 包括几个预先配置的搜索，可用于搜索安全事件。例如，有一个预定义的搜索可搜索帐户锁定事件。

　　· 使用 EventCombMT 搜索帐户锁定

　　注意：包括在 EventcombMT 中的其他预定义搜索分别是文件复制服务搜索、Active Directory 搜索，寻找是否有重复 SID 和 NETLOGON DNS 注册失败、硬盘错误以及 DNS 接口错误。您还可以定义和保存自定义的搜索。

　　Contoso 在尝试诊断问题或在事件响应过程中确定问题原因时，会使用 EventCombMT。另外，Contoso 还定期检查所有域控制器上是否存在帐户锁定或错误密码。这样的操作有助于手动识别监视系统可能不能检测的任何奇怪模式。

　　事件收集

　　审核的主要目标之一是识别攻击者在网络上采取的操作。攻击者可能尝试破坏网络上的多个计算机和设备。因此，要了解任何攻击的程度，必须能整理和合并来自很多计算机的信息。

　　如果日志实用程序将导入数据库中，整理来自多个日志的信息较为简单。只要所有计算机上的时间同步，就可以根据时间字段进行排序，这就使根据时间间隔进行跟踪事件变得非常简单。

　　下面几节内容简要讲述了一些工具和实用程序，可使用这些工具和实用程序将事件日志信息收集到一个中心位置。

　　脚本

　　可以编写一些脚本来从多个远程计算机收集事件日志信息，并将这些信息存储在一个集中的位置。通过使用脚本，可选择何时使用“任务计划”运行脚本，一次采取什么操作即可将事件日志成功复制到集中的位置。

　　一个简单的示例为，创建一个使用“Windows 2000 Server Resource Kit”中的 Dumpel.exe 的批处理文件，然后通过“控制面板”中的“任务计划”定期启动该批处理文件。

　　“Windows 2000 Resource Kit, Supplement One”中包括 Eventquery.pl。这是一个 Perl 脚本，可显示运行 Windows 2000 的本地计算机和远程计算机上的“事件查看器”中的事件，并提供了很多筛选器，可帮助您查找特定的事件。

　　注意：要使用这个脚本，需安装“Windows 2000 Server Resource Kit”中的 ActivePerl。

　　Contoso 当前不使用事件收集解决方案。但预期会使用 Microsoft Audit Collection System (MACS)，该系统将在第二年发布。MACS 是一种安全事件收集工具，它利用压缩、签名和加密的安全方式收集事件。收集事件之后，这些事件将加载到 SQL 数据库中，并进行优化以供分析。

　　Microsoft Operations Manager

　　Microsoft Operations Manager (MOM) 2000 是一种高级工具集，使企业能完整分析 Windows 2000 及其应用程序的内置事件报告和性能监视。MOM 2000 使用远程计算机上的 Intelligent Agent 将事件和性能数据收集、存储并报告到单独的位置，使管理员可集中复查收集的信息。

　　核心 MOM 2000 管理程序包会收集显示在系统事件日志、应用程序事件日志和安全事件日志中的事件，并将这些结果组合到一个集中的事件存储库。

　　注意：MOM 2000 会将它的信息存储在 SQL Server 数据库中，并提供几种检索和分析存档数据的方法。管理员可使用 Operations Manager 管理控制台、Web 控制台或 Operations Manager 报告来查看、打印或者发布数据。每个视图都包含一些预定义的用于分析存档数据的视图，并允许定义自定义视图和报告。

　　事件日志收集的第三方解决方案

　　目前有若干第三方产品可提供集中的事件日志收集和检查。评估这些第三方产品时，应在标准中添加下列功能：

　　提供事件收集功能的第三方产品有：

　　主动检测方法

　　主动入侵检测系统会在应用层分析传入的网络通讯，查找已知的攻击方法或可疑的应用层负载。如果收到了一个可疑的数据包，入侵检测系统通常会丢弃该数据包，并在日志文件中记录一项。有些入侵检测系统还可在检测到严重攻击时向管理员发出通知。

　　用于入侵检测的第三方解决方案

　　网络入侵检测系统和端点入侵检测系统都有第三方解决方案。这些第三方解决方案会提供除超文本传输协议 (HTTP) 之外的一些协议的支持，还会针对联网的计算机扫描一些已知的攻击。

　　入侵检测系统应识别的常见攻击类型有：

　　好的入侵检测系统应能识别所有三种形式的攻击。有两个不同的方法可识别攻击：

　　可用于测试和部署的部分第三方产品包括：

　　· BlackIce Defender http://blackice.iss.net/（英文）

　　· eTrust Intrusion Detection http://www3.ca.com/Solutions/Product.asp?ID=163（英文）

　　· Snort http://www.snort.org/（英文）

　　· Tripwire http://www.tripwiresecurity.com（英文）

　　· Foundstone Attacker http://www.foundstone.com/（英文）

　　漏洞评估

　　除了执行被动和主动入侵检测之外，还应定期执行漏洞评估。漏洞评估会在网络中模拟攻击，检测攻击者可能找到的漏洞。

　　通过定期执行评估，可在攻击者进行攻击之前找到漏洞，并保护网络的薄弱部分，从而确保这些漏洞不受攻击。

　　如果要研究漏洞评估工具，请在决策过程中包括下列要求：

　　有几个第三方工具可用于针对 Windows 2000 网络执行漏洞评估。这些工具有：

　　另外，采用第三方咨询服务来执行漏洞评估更适合。使用第三方服务的优点在于，第三方之前不了解该网络，不会与外部攻击者使用同样的开始点工作。很多情况下，这些外部评估都会基于评估工作组的中立性提供最有用的信息。

　　小结

　　审核和入侵检测是有效构建环境防护措施的重要组成部分。作为风险管理过程的一部分，必须确定什么程度的审核和入侵检测适用于您所在的环境。对于跨多个协议的入侵检测，您可考虑使用第三方工具。