Microsoft le envíe la "cámara de sistema" original

novato conseguir la política de auditoría iniciado
1. ¿Qué
directiva de auditoría es un mecanismo de seguridad para Windows 2000 y versiones posteriores de la directiva de grupo introducidas. Se puede grabar sistema de eventos ha sido auditado por la forma de troncos, y los administradores de sistemas de generación de archivos de registro se pueden descubrir y realizar un seguimiento de eventos sospechosos fácilmente ocurrir dentro del área de gestión. Por ejemplo: quién ha visitado qué archivo, qué programas ilegales han invadido su computadora, etc.
2. Cómo abrir la política de "auditoría de acceso a objetos"
todo el defecto "Directiva de auditoría" no está abierto, es necesario abrir manualmente. Abra el "Panel de control → Herramientas administrativas → Directiva de seguridad local" o entrar en "secpol.msc" en el "Inicio → Ejecutar", abra la política de "Configuración de seguridad local" Grupo Editor, busque y haga clic en "Directivas locales → Política de Auditoría Haga doble clic en "Auditar objeto de acceso" en el panel derecho y marque "Correcto" o "Fallo" (consulte la Figura 1).
3. Ver registro de eventos
configurar una directiva de auditoría, tenía que ver a través del evento para obtener información. Enter "Eventvwr.msc" en el "Inicio → Ejecutar", a continuación, vaya a la "Visor de sucesos → Seguridad", grabado muchos eventos, "Intervención de la falta de" seguridad "Auditoría de aciertos" en el panel derecho. Normalmente, una gran cantidad de eventos registrados se puede cribar, seleccionar "Ver → Filtro" en la pestaña "Filtro", escribe el siguiente tiempo sólo se comprueba la "Auditoría de aciertos" y "Auditoría de errores", y "Origen del suceso "y" categoría "pueden seleccionarse de acuerdo con diferentes objetos de revisión y contenido de revisión. En general, solo se deben ver 560 eventos (consulte la Figura 2).

4. Uso del Local Venta política de auditoría premisa política de auditoría aplicación, primero instalado Windows XP (o Windows 2003), requiere la verificación de documentos, carpetas, y La clave de registro, etc. debe ubicarse en la partición del sistema de archivos NTFS, y la política de auditoría de eventos de acceso a objetos debe abrirse como se describe anteriormente. Si se cumplen las condiciones anteriores, se pueden revisar archivos o carpetas específicos y qué tipos de acceso se especifican para qué usuarios o grupos se especifican.

Aplicación práctica

Tarea práctica 1: ¿Qué hizo el espía comercial?
Descripción de la tarea: Agui es la red de una empresa de TI, recientemente, algunos propietarios de negocios descubrió la propagación secreta como la pólvora, que quería saber a los empleados que, bajo la premisa de monitoreo cuando sus hombres visitaron o Se utilizan los datos en el disco o carpeta especificados en la computadora de la compañía, por ejemplo: la carpeta del servidor "D: \\ data". El jefe sintió que Xiao era el más sospechoso, por lo que decidió comenzar vigilándolo.
análisis antes de la guerra: los empleados se asignan a cada persona tiene una cuenta diferente (recuerde no modificar la configuración de directiva de derechos a ellos!), Siempre y cuando la cuenta de monitor seleccionado o el acceso al grupo objetivo, el objetivo de la necesidad de controlar el acceso Derecho y derecho de ejecución. Antes de comenzar, primero cancele "Usar uso compartido simple de archivos" en la pestaña "Opciones de carpeta → Ver".
primer paso: Haga doble clic en la "Directiva de auditoría" en el "acceso a objetos de auditoría" a la derecha, compruebe el "éxito", confirmar la operación y salir del editor. Haga clic con el botón derecho en el disco o carpeta de destino y seleccione Propiedades, cambie a la pestaña Seguridad, haga clic en Avanzado y cambie a la pestaña Auditoría.
Segundo paso: Haga clic en el botón "Añadir", introduzca el nombre de usuario de cómo utilizar pequeñas, debido pequeña parte de lo que el grupo usuario medio (usuarios), por lo que entrar en "nombre de equipo \\ usuarios", haga clic en "OK" ( Ver Figura 3). Con ello se abre la ventana de selección de proyectos de auditoría, debido a que desea supervisar cuán pequeño sea el objetivo de "acceso y ejecución, un Paul  vasos de pulgas  chimenea amoniaco polea agua  elevó ? Ejecuta el archivo" (véase la Figura 4), determinar todas las operaciones.

El tercer paso: En este punto, la estrategia se ha completado. Ahora puedes intentar ver si funciona. Abra el visor de eventos, haga clic con el botón derecho en "Seguridad" y seleccione "Borrar todos los eventos" para cerrar sesión en el sistema. En este caso, lo pequeño que iniciar sesión en este sistema, el acceso a lo "D: \\ data" y ejecutar un archivo (como correr en un almacenados en el directorio bajo "MSN6.2.exe" archivo). Después del cierre de sesión del sistema, inicie la sesión como un administrador Agui, mira el registro, no está documentado claramente cuán pequeño sea el comportamiento de acceso (ver Figura 5)?

Jaja, ojos que la evidencia en la mano, cómo incluso pequeña inteligente, no pueden escapar a la red Kuei.

Tarea práctica 2: ¿quiero saber quién "secuestró" mi IE?
Descripción de la tarea: yo creo que tenía una experiencia similar, los miembros de la familia a menudo utilizan Internet en su ordenador, pero después de usar el equipo encontró la página de inicio de IE no sabe qué tipo repugnante "secuestrado"! Aunque puede volver al original, ¡no sabe en qué sitio web se encuentra! ¿Cómo puedo atrapar al asesino cuando IE es "secuestrado" la próxima vez? El análisis anterior a la guerra
: Sabemos que modificar la página de inicio de IE, de hecho, añadir algunas claves en el registro, siempre y cuando el monitor registra en la información de clave de registro para averiguar "secuestradores" no debe ser una cosa difícil.
Paso 1: Ajuste de Auditoría "éxito" en el "acceso a objetos de auditoría" en. Abra el Editor del Registro, busque la [HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Internet Explorer \\ Main], haga clic en los "principales" elección "derechos".
Consejos para si es necesario también para [HKEY_LOCAL_MACHINE \\ Software \\ Microsoft \\ Internet Explorer \\ Main] juntos bajo vigilancia.
Segundo paso: Haga clic en "Opciones avanzadas", cambiar a la "auditoría", introduzca la cuenta de usuario actual, comprobar Aplicar esta regla después de la "Establecer valor" en el proyecto de auditoría de acceso.
Paso tres: Abrir http://www.cfan.com.cn
, seleccione "Herramientas → Opciones de Internet" con el tema "General" en la página actual como predeterminada Casa En este punto, abra el visor de registro de eventos y encuentre fácilmente la entrada de registro modificada en función del registro de registro (consulte la Figura 6).

Tarea práctica 3: ¿Cómo salir del "fantasma interno" en el registro?
Descripción de la tarea: algunos programas añadirá automáticamente el programa para iniciar sin preguntar al usuario después de la instalación, lo que es peor viene troyanos! Y estos comportamientos abominables a menudo son difíciles de ver directamente, entonces, ¿cómo podemos identificar y extraer los "fantasmas internos" que colocan en el registro?
análisis antes de la guerra: esta tarea en los artículos 17 de 2004 de "coger el registro fantasma - oyente Registro" se ha introducido en un artículo, el autor es por muchos registro Software de monitoreo para completar. De hecho, el uso de los principios de software de monitoreo es el control de las claves del registro del sistema desde el grupo Inicio vigilaban, los datos de vigilancia y de destino sobre la base de antes y después de un cambio de juez, ahora la estrategia de "acceso a objetos de auditoría" para llevar a cabo esta tarea con. Después de instalar MSN Messenger, agregue automáticamente un elemento de inicio automático como ejemplo.
primer paso: de la misma manera, el establecimiento de un examen del registro [HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ Run] cambios fundamentales de política.

Paso 2: abre el visor de registro de eventos para borrar la lista e instalar MSN Messenger.
El tercer paso: abrir el Visor de registro de nuevo, en la ventana derecha para encontrar eventos registrados desde el inicio de la modificación (véase la Figura 7).

Horario: Registro desde el lanzamiento del programa 9 escondites
clave de registro de carga HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Windows \\ carga
Userinit clave de registro HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows NT \\ CurrentVersion \\ Winlogon clave de registro \\ Userinit
ExplorerRun HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ Policies \\ Explorer \\ Run
y HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows actual \\ Version \\ Policies \\ clave del registro Explorer \\ Run
RunServicesOnce HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ RunServices \\ Una vez
y HKEY_LOCAL_MACHI NESO
FTWAREMicrosoft WindowsCurrentVersionRunServicesOnce
RunServices clave de registro HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ RunServices
y HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Mic clave de registro Rosoft \\ Windows \\ CurrentVersion \\ Run \\ Servicios
RunOnceSetup HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ RunOnceSetup
y HKEY_LOCAL_MACHINE \\ SOFTWARE \\ Microsoft \\ Windows \\ CurrentVersion \\ RunOnceSetup
Ejecute la clave de registro HKEY_LOCAL_MacHINE \\ SOFTWARE \\ Microsoft \\ Windows \\ CurrentVersion \\ RunOnce y HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVallas> Términos> Términos de uso> Términos de uso de Microsoft Windows 7 \\ Microsoft \\ Windows \\ CurrentVersion \\ Run