Windows日志及其保护
Windows日志及其保护
日志文件(log)记录着Windows系统及其各种服务运行的每个细节，对增强Windows的稳定和安全性，起着非常重要的作用。如果不注意对它保护，被人将日志文件清空或篡改，会给系统带来严重的安全隐患。
日志文件是Windows系统中一个比较特殊的文件，它记录着Windows系统中所发生的一切，如各种系统服务的启动、运行、关闭等信息。
Windows系统日志文件有应用程序日志，安全日志、系统日志、DNS服务器日志等等，应用程序日志、安全日志、系统日志、DNS日志默认位置：%systemroot%\system32\config，默认文件大小512KB。
安全日志文件：%systemroot%\system32\config\SecEvent.EVT
系统日志文件：%systemroot%\system32\config\SysEvent.EVT
应用程序日志文件：%systemroot%\system32\config\AppEvent.EVT
[查看日志文件的方法]
在Windows系统中查看日志文件很简单。点击“开始-设置-控制面板-管理工具-事件查看器”，在事件查看器窗口左栏中列出本机包含的日志类型，如应用程序、安全、系统等。查看某个日志记录也很简单，在左栏中选中某个类型的日志，如应用程序，接着在右栏中列出该类型日志的所有记录，双击其中某个记录，弹出“事件属性”对话框，显示出该记录的详细信息，这样我们就能准确的掌握系统中到底发生了什么事情，是否影响Windows的正常运行，一旦出现问题，即时查找排除。
[日志的安全配置]
1.修改日志文件存放目录
Windows日志文件默认路径是“%systemroot%system32config”，我们可以通过修改注册表来改变它的存储目录，来增强对日志的保护。
在注册表编辑器中，依次展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系统日志。可以把它们重定位，放到其它目录中。
2.日志文件的大小
默认的条件下，日志的大小为512KB大小，如果超出则会报错，并且不会再记录任何日志。所以首要任务是更改默认大小，具体方法：注册表中HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog对应的每个日志如系统，安全，应用程序等均有一个maxsize子键，修改即可。
[日志的查询与备份]
一个优秀的管理员是应该养成备份日志的习惯，如果有条件的话还应该把日志转存到备份机器上或直接转储到打印机上，可以使用微软的resourceKit工具箱中的dumpel.exe，他的常用方法：
dumpel -f filename -s \\server -l log
-f filename 输出日志的位置和文件名
-s \\server 输出远程计算机日志
-l log log 可选的为system,security,application,可能还有别的如DNS等.
如要把目标服务器server上的系统日志转存为backupsystem.log可以用以下格式：
dumpel \\server -l system -f backupsystem.log
再利用计划任务可以实现定期备份系统日志。
详解Windows Server 2008安全日志
建立安全日志记录 为了让大家了解如何追踪计算机安全日志功能的具体方面，首先需要了解如何启动安全日志。大多数Windows计算机(除了某些域控制器版本系统)默认情况下不会向安全日志(Security Log)启动日志记录信息。这样的设置有利也有弊，弊的方面在于，除非用户强迫计算机开始日志记录安全事件，否则根本无法进行任何追踪。好的方面在于，不会发生日志信息爆满的问题以及提示日志已满的错误信息，这也是Windows Server 2003域控制器在没有任何预警下的行为。 安全日志事件跟踪可以使用组策略来建立和配置，当然你可以配置本地组策略对象，但是这样的话，你将需要对每台计算机进行单独配置。另外，你可以使用Active Directory内的组策略为多台计算机设置日志记录配置。要建立安全日志追踪，首先打开连接到域的计算机上的Group Policy Management Console (GPMC，组策略管理控制台)，并以管理员权限登录。在GPMC中，你可以看到所有的组织单位(OU)(如果你事先创建了的话)以及GPO(如果你创建了两个以上)，在本文中，我们将假设你有一个OU，这个OU中包含所有需要追踪相同安全日志信息的计算机，我们将使用台式计算机OU和AuditLog GPO。 编辑AuditLog GPO然后展开至以下节点： Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Audit Policy 类别控制范围的简要介绍 以下是关于每种类别控制范围的简要介绍： 审计帐户登录事件–每次用户登录或者从另一台计算机注销的时候都会对该事件进行审计，计算机执行该审计是为了验证帐户，关于这一点的最好例子就是，当用户登录到他们的Windows XP Professional计算机上，总是由域控制器来进行身份验证。由于域控制器对用户进行了验证，这样就会在域控制器上生成事件。除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。最常见以及最佳的做法就是让所有的域控制器和服务器对这些事件进行审计。我还发现，在很多环境中，客户端也会配置为审计这些事件。 审计账户管理–这个将对所有与管理计算机(配置了审计)的用户数据库中的帐户的用户有关的事件进行审计，这些事件的示例如下： ·创建一个用户帐户 ·添加用户到一个组 ·重命名用户帐户 ·为用户帐户更改密码 对于域控制器而言，该管理政策将会对域帐户更改进行审计。对于服务器或者客户端而言，它将会审计本地安全帐户管理器(Security Accounts Manager)以及相关的帐户。除了Windows Server 2003域控制器(配置为审计这些事件的成功与否)启动了设置外，没有操作系统启动该设置。最常见以及最佳的做法就是让所有的域控制器和服务器对这些事件进行审计。对于用户帐户的审计，安全日志以及审计设置是不能捕捉的。 审计目录服务访问–这个将对与访问AD对象(已经被配置为通过系统访问控制列表SACL 追踪用户访问情况)的用户有关的事件进行审计，AD对象的SACL指明了以下三件事： ·将会被追踪的帐户(通常是用户或者组)
windows系统日志与入侵检测详解-电脑教程
windows系统日志与入侵检测详解 -电脑教程.txt我很想知道，多少人分开了，还是深爱着?、自己哭自己笑自己看着自己闹 . 你用隐身来躲避我丶我用隐身来成全你！待到一日权在手 , 杀尽天下负我 狗 .windows 系统日志与入侵检测详解 - 电脑教程 系统日志源自航海日志：当人们出海远行地时候，总是要做好航海日志，以便为以后地工作做出依据?日志文件作为微软 Windows系列操作系统中地一个比较特殊地文件,在安全方面 具有无可替代地价值 . 日志每天为我们忠实地记录着系统所发生一切，利用系统日志文件，可以使系统管理员快速对潜在地系统入侵作出记录和预测，但遗憾地是目前绝大多数地人都忽略了它地存在?反而是因为黑客们光临才会使我们想起这个重要地系统日志文件? 7.1日志文件地特殊性 要了解日志文件，首先就要从它地特殊性讲起，说它特殊是因为这个文件由系统管理，并加以保护,一般情况下普通用户不能随意更改?我们不能用针对普通 TXT文件地编辑方法来编辑它 例如 WPS系列、Word系列、写字板、Edit等等，都奈何它不得.我们甚至不能对它进行“重命名”或“删除”、“移动”操作 , 否则系统就会很不客气告诉你:访问被拒绝? 当然 , 在纯DOS地状态下，可以对它进行一些常规操作(例如 Win98状态下 >,但是你很快就会发现，你地 修改根本就无济于事 , 当重新启动 Windows 98 时 , 系统将会自动检查这个特殊地文本文件 , 若不存在就会自动产生一个；若存在地话，将向该文本追加日志记录? b5E2RGbCAP 7.1.1黑客为什么会对日志文件感兴趣 黑客们在获得服务器地系统管理员权限之后就可以随意破坏系统上地文件了，包括日志文件?但是这一切都将被系统日志所记录下来，所以黑客们想要隐藏自己地入侵踪迹，就必须对日志进行修改 . 最简单地方法就是删除系统日志文件，但这样做一般都是初级黑客所为，真正地高级黑客们总是用修改日志地方法来防止系统管理员追踪到自己，网络上有很多专门进行此类 功能地程序，例如Zap、Wipe等.p1EanqFDPw 7.1.2Windows 系列日志系统简介 1.Windows 98 地日志文件 因目前绝大多数地用户还是使用地操作系统是 Windows 98，所以本节先从 Windows 98 地日志文件讲起 .Windows 98 下地普通用户无需使用系统日志，除非有特殊用途，例如，利用 Windows 98建立个人 Web服务器时，就会需要启用系统日志来作为服务器安全方面地参考，当已利用 Windows 98 建立个人 Web 服务器地用户，可以进行下列操作来启用日志功能 . DXDiTa9E3d (1>在“控制面板”中双击“个人Web服务器”图标；(必须已经在配置好相关地网络协议，并添加“个人 Web服务器”地情况下>.RTCrpUDGiT (2> 在“管理”选项卡中单击“管理”按钮； (3＞在“In ternet 服务管理员”页中单击“ WW管理”；
系统安全防范之Windows日志与入侵检测
系统安全防范之Windows日志与入侵检测 一、日志文件的特殊性 要了解日志文件，首先就要从它的特殊性讲起，说它特殊是因为这个文件由系统管理，并加以保护，一般情况下普通用户不能随意更改。我们不能用针对普通TXT文件的编辑方法来编辑它。例如WPS系列、Word系列、写字板、Edit等等，都奈何它不得。我们甚至不能对它进行“重命名”或“删除”、“移动”操作，否则系统就会很不客气告诉你:访问被拒绝。当然，在纯DOS的状态下，可以对它进行一些常规操作(例如Win98状态下)，但是你很快就会发现，你的修改根本就无济于事，当重新启动Windows 98时，系统将会自动检查这个特殊的文本文件，若不存在就会自动产生一个；若存在的话，将向该文本追加日志记录。 二、黑客为什么会对日志文件感兴趣 黑客们在获得服务器的系统管理员权限之后就可以随意破坏系统上的文件了，包括日志文件。但是这一切都将被系统日志所记录下来，所以黑客们想要隐藏自己的入侵踪迹，就必须对日志进行修改。最简单的方法就是删除系统日志文件，但这样做一般都是初级黑客所为，真正的高级黑客们总是用修改日志的方法来防止系统管理员追踪到自己，网络上有很多专门进行此类功能的程序，例如Zap、Wipe等。 三、Windows系列日志系统简介 1.Windows 98的日志文件 因目前绝大多数的用户还是使用的操作系统是Windows 98，所以本节先从Windows 98的日志文件讲起。Windows 98下的普通用户无需使用系统日志，除非有特殊用途，例如，利用Windows 98建立个人Web服务器时，就会需要启用系统日志来作为服务器安全方面的参考，当已利用Windows 98建立个人Web服务器的用户，可以进行下列操作来启用日志功能。(1)在“控制面板”中双击“个人Web服务器”图标；(必须已经在配置好相关的网络协议，并添加“个人Web服务器”的情况下)。 (2)在“管理”选项卡中单击“管理”按钮； (3)在“Internet服务管理员”页中单击“WWW管理”； (4)在“WWW管理”页中单击“日志”选项卡； (5)选中“启用日志”复选框，并根据需要进行更改。将日志文件命名为“Inetserver_event.log”。如果“日志”选项卡中没有指定日志文件的目录，则文件将被保存在Windows文件夹中。 普通用户可以在Windows 98的系统文件夹中找到日志文件schedlog.txt。我们可以通过以下几种方法找到它。在“开始”/“查找”中查找到它，或是启动“任务计划程序”，在“高级”菜单中单击“查看日志”来查看到它。Windows 98的普通用户的日志文件很简单，只是记录了一些预先设定的任务运行过程，相对于作为服务器的NT操作系统，真正的黑客们很少对Windows 98发生兴趣。所以Windows 98下的日志不为人们所重视。 2.Windows NT下的日志系统 Windows NT是目前受到攻击较多的操作系统，在Windows NT中，日志文件几乎对系统中的每一项事务都要做一定程度上的审计。Windows NT的日志文件一般分为三类： 系统日志：跟踪各种各样的系统事件，记录由Windows NT 的系统组件产生的事件。例如，在启动过程加载驱动程序错误或其它系统组件的失败记录在系统日志中。 应用程序日志：记录由应用程序或系统程序产生的事件，比如应用程序产生的装载dll(动态链接库)失败的信息将出现在日志中。 安全日志：记录登录上网、下网、改变访问权限以及系统启动和关闭等事件以及与创建、打开或删除文件等资源使用相关联的事件。利用系统的“事件管理器”可以指定在安全日志中记录需要记录的事件，安全日志的默认状态是关闭的。
日志分析系统
Web日志集中管理系统的研究与实现 吴海燕朱靖君程志锐戚丽 （清华大学计算机与信息管理中心，北京100084） E-mail：wuhy@https://www.360docs.net/doc/5f11770937.html, 摘要： Web服务是目前互联网的第一大网络服务，Web日志的分析对站点的安全管理与运行维护非常重要。在实际运行中，由于应用部署的分散性和负载均衡策略的使用，使得Web日志被分散在多台服务器上，给日志的管理和分析带来不便。本文设计并实现了一个Web日志集中管理系统（命名为ThuLog），系统包括日志集中、日志存储和日志分析三个模块。目前，该系统已经在清华大学的多个关键Web应用系统上进行了应用，能够帮助系统管理员清晰地了解系统运行情况，取得了较好的运行效果。 关键词：Web日志日志分析日志集中管理系统 The Research and Implementation of a Centralized Web Log Management System Wu Haiyan Zhu Jingjun Cheng Zhirui Qi Li (Computer&Information Center,Tsinghua University,Beijing100084) Abstract：Web is now the biggest network service on the Internet.The analysis of Web logs plays an important role in the security management and the maintenance of a website.But because of the decentralization of deployment and the use of load balancing,Web logs are often seperated on each Web server,which makes the management and analysis of them not so convenient.This paper designs and implements a Web Log Centralized Management System(named ThuLog),which includes3modules:the centralization of logs,the storage of logs and the analysis of logs.Through log analysis of several critical Web systems in Tsinghua University,it could help system administrators learn clearly what happens in information systems and achieves good operating results. Key words：Web Logs Log Analysis Web Log Centralized Management System 1.引言 近年来，随着计算机网络技术的迅速发展，Web正以其广泛性、交互性、快
系统信息安全保护制度
系统信息安全保护制度 一、网站运行安全保障措施 1、网站服务器和其他计算机之间设置防火墙,做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。 2、在网站的服务器及工作站上均安装了相应的防病毒软件，对计算机病毒、有害电子邮件有整套的防范措施，防止有害信息对网站系统的干扰和破坏。 3、做好访问日志的留存。网站具有保存六个月以上的系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，主页维护者、对应的IP地址情况等。 4、交互式栏目具备有IP地址、身份登记和识别确认功能，对非法贴子或留言能做到及时删除并进行重要信息向相关部门汇报。 5、网站信息服务系统建立多机备份机制，一旦主系统遇到故障或受到攻击导致不能正常运行，可以在最短的时间内替换主系统提供服务。 6、关闭网站系统中暂不使用的服务功能,及相关端口,并及时用补丁修复系统漏洞,定期查杀病毒。 7、服务器平时处于锁定状态,并保管好登录密码;后台管理界面设置超级用户名及密码,并绑定IP,以防他人登入。 8、网站提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站系统管理员设置共享数据库信息的访问权限，并设置
相应的密码及口令。不同的操作人员设定不同的用户名，且定期更换，严禁操作人员泄漏自己的口令。对操作人员的权限严格按照岗位职责设定，并由网站系统管理员定期检查操作人员权限。 二、信息安全保密管理制度 1、网站信息内容更新全部由网站工作人员完成或管理。网站相关信息发布之前有一定的审核程序。工作人员采集信息将严格遵守国家的有关法律、法规和相关规定。严禁通过网站散布《互联网信息管理办法》等相关法律法规明令禁止的信息，一经发现，立即删除。 2、遵守对网站服务信息监视，保存、清除和备份的制度。开展对网络有害信息的清理整治工作，对违法犯罪案件，报告并协助公安机关查处。 3、所有信息都及时做备份。按照国家有关规定，网站将保存6个月内系统运行日志和用户使用日志记录。 4、制定并遵守安全教育和培训制度。加大宣传教育力度，增强用户网络安全意识，自觉遵守互联网管理有关法律、法规，不泄密、不制作和传播有害信息，不链接有害信息或网页。 三、系统账号管理制度 1、服务器和数据库的管理账号密码，由系统管理员和数据库管理员设定并持有，实行定期修改制度，最长有效期不超过90天。 2、更换服务器与数据库密码时必须报备上级领导，以防遗失密码。如发现密码及口令有泄密迹象，管理员要立刻报告主管领导，严查泄露源头，同时更换密码。
Windows日志文件解读
Windows日志文件完全解读 日志文件，它记录着Windows系统及其各种服务运行的每个细节，对增强Windows的稳定和安全性，起着非常重要的作用。但许多用户不注意对它保护，一些“不速之客”很轻易就将日志文件清空，给系统带来严重的安全隐患。 一、什么是日志文件 日志文件是Windows系统中一个比较特殊的文件，它记录着Windows系统中所发生的一切，如各种系统服务的启动、运行、关闭等信息。Windows日志包括应用程序、安全、系统等几个部分，它的存放路径是“%systemroot%system32config”，应用程序日志、安全日志和系统日志对应的文件名为AppEvent.evt、SecEvent.evt和SysEvent.evt。这些文件受到“Event Log（事件记录）”服务的保护不能被删除，但可以被清空。 二、如何查看日志文件 在Windows系统中查看日志文件很简单。点击“开始→设置→控制面板→管理工具→事件查看器”，在事件查看器窗口左栏中列出本机包含的日志类型，如应用程序、安全、系统等。查看某个日志记录也很简单，在左栏中选中某个类型的日志，如应用程序，接着在右栏中列出该类型日志的所有记录，双击其中某个记录，弹出“事件属性”对话框，显示出该记录的详细信息，这样我们就能准确的掌握系统中到底发生了什么事情，是否影响Windows 的正常运行，一旦出现问题，即时查找排除。 三、Windows日志文件的保护 日志文件对我们如此重要，因此不能忽视对它的保护，防止发生某些“不法之徒”将日志文件清洗一空的情况。 1．修改日志文件存放目录 Windows日志文件默认路径是“%systemroot%system32config”，我们可以通过修改注册表来改变它的存储目录，来增强对日志的保护。 点击“开始→运行”，在对话框中输入“Regedit”，回车后弹出注册表编辑器，依次展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系统日志。 笔者以应用程序日志为例，将其转移到“d:cce”目录下。选中Application子项,在右栏中找到File键，其键值为应用程序日志文件的路径“%SystemRoot%system32configAppEvent.Evt”，将它修改为“d:cceAppEvent.Evt”。接着在D盘新建“CCE”目录，将“AppEvent.Evt”拷贝到该目录下，重新启动系统，完成应用程序日志文件存放目录的修改。其它类型日志文件路径修改方法相同，只是在不同的子项下操作。 2．设置文件访问权限 修改了日志文件的存放目录后，日志还是可以被清空的，下面通过修改日志文件访问权限，防止这种事情发生，前提是Windows系统要采用NTFS文件系统格式。 右键点击D盘的CCE目录，选择“属性”，切换到“安全”标签页后，首先取消“允许将来自父系的可继承权限传播给该对象”选项勾选。接着在账号列表框中选中“Everyone”账号，只给它赋予“读取”权限；然后点击“添加”按钮，将“System”账号添加到账号列表框中，赋予除“完全控制”和“修改”以外的所有权限，最后点击“确定”按钮。这样当用户清除Windows日志时，就会弹出错误对话框。 四、Windows日志实例分析 在Windows日志中记录了很多操作事件，为了方便用户对它们的管理，每种类型的事件都赋予了一个惟一的编号，这就是事件ID。 1．查看正常开关机记录
日志安全管理规定
日志安全管理规定 第一条为加强XXXXXXX局信息系统的日志数据管理工作，真实、有效地保存和使用各类日志，确保数据的保密性、完整性和可用性，特制定 本规定。 第二条本规定适用于XXXXXXX局信息系统各系统管理人员以及使用人员。第三条日志包括信息系统中存储的主机系统日志、设备日志和开放平台系统日志等计算机基础环境日志。 第四条开放平台系统是指安装UNIX以及WINDOWS系列等操作系统的高低端服务器。 第五条安全管理员负责组织制订相关日志管理策略。 第六条系统管理员负责执行主机系统、开放平台系统的日志管理策略，数据库管理员负责数据库日志的管理。 第七条网络管理员负责执行网络设备日志管理策略，安全管理员负责执行安全设备日志管理。 第八条日志不能被无关人员随意察看；日志本身需要保持完整性，不能被非授权人员更改；日志需要保持可用性，要做备份，以便审计时使 用。 第九条日志需至少包括以下内容： 1）用户账号； 2）登录和退出的日期和时间； 3）尽可能的识别出终端的身份代号或地址； 4）记录有相关系统访问成功和失败的登录日志； 5）成功和拒绝处理的数据和其它资源访问登录的相关记录。
第十条应当建立日志服务器，日志服务器使用大容量外置磁盘，实施对所有系统日志进行收集、保存，日志传送可以通过SNMP，SYSLOG等 方式。 第十一条日志维护管理的结果必须每周进行检查，如发现有可疑的滥用或安全性事故的情况发生，则及时对问题进行分析和跟踪；对影响较大 的错误日志必须及时向相关部门负责人汇报。 第十二条主机日志由业务系统日志和数据库日志组成。 第十三条对主机日志的访问权限进行控制，并打开审计选项，以防止非法访问。 第十四条系统管理员应对生产环境的各类主机日志进行备份，涉及到重要或机密数据应当备份到存储介质上进行异地保存，主机系统日志保留 半年；数据库管理员对数据库进行管理，日志保留期限为36个月。第十五条各部门如需查阅主机系统日志，应按照《XXXXXXX局信息系统变更管理规定》提交变更申请，由系统管理员或数据库管理员调出指定的 主机日志到非生产环境，查阅完成后，在非生产环境上删除。 第十六条应当在开放平台服务器上进行配置或运行脚本，将每日日志集中发送至日志服务器。 第十七条第十七条对开放平台日志的访问权限进行控制，并打开审计选项，以防止非法访问。 第十八条日志文件在日志服务器上集中保存；日志保留期限为12个月。 第十九条各部门如需查阅开放平台系统日志，应向本部门负责人或项目组负责人提出申请，相关负责人同意后，由各系统管理员负责相关日志 的收集，通过可以查询或保留的方式进行发送，如邮箱；查阅完成， 各申请人员必须及时对日志进行删除。 第二十条设备日志主要是由防火墙、路由器、交换机、负载均衡设备、通信设备等产生的日志。
最新信息系统日志管理办法
陕西煤业化工集团财务有限公司 信息系统日志管理办法 第一章总则 第一条随着公司信息系统规模的逐步扩大，越来越多的主机、应用系统、网络设备加入到系统网络中，日志安全管理变得越来越复杂。为了规范公司信息系统运行过程中的日志安全管理，为系统运行监控、安全事件跟踪、系统审计等提供真实的日志数据，特制定本办法。 第二条本办法适用于公司信息系统日志安全管理过程。 第二章日志产生管理 第三条为了实时有效的产生必须的日志信息，应开启网络设备、安全设备、操作系统、数据库系统、应用系统等系统日志功能。 第四条一般需开启的日志功能项： （一）记录用户切换产生的日志； （二）系统的本地和远程登陆日志； （三）修改、删除数据； （四）为了掌握系统的性能开支，必须开启系统统计，周期性收集系统运行数据，包括 (CPU utilization, disk I/O等) ，管理人员应经常性查看系统负荷和性能峰值，从而判断系统是否被非法使用或受到过攻击。 第五条安全设备需开启的日志功能项： （一）流量监控的日志信息； （二）攻击防范的日志信息； （三）异常事件日志缺省为打开，可发送到告警缓冲区。 第六条本地日志文件不可以全局可写，通过修改日志的默认权限提高日志系统的安全性，防止非授权用户修改日志信息。 第七条安全日志最大值设置。安全日志最大值:>100MB。 第三章日志采集管理
第八条为了更好的保存日志和后续的处理，应创建专门的日志采集服务器。 第九条在指定用户日志服务器时，日志服务器的IP地址，日志服务器应使用1024以上的UDP端口作为日志接收端口。 第十条日志信息按重要性可按级别、用户、源IP、目的IP、事件、模块进行信息过滤。 第十一条日志要统一考虑各种攻击、事件，将各种日志输出格式、统计信息等内容进行规范，从而保证日志风格的统一和日志功能的严肃性。 第十二条网络设备的管理，配置网络设备的日志发送到日志采集服务器，日志采集服务器对其日志进行格式化、过滤、聚合等操作。 第四章日志审计 第十三条对公司敏感信息操作的相关日志，应对其加大审核的力度和频率。 第十四条网络设备、安全设备的系统和报警日志由安全管理员进行至少每月一次的安全审核，并填相关的网络设备日志审核记录，以及时发现问题，并根据问题采取相应措施。 第十五条重要服务器操作系统的操作记录由系统管理员根据操作系统记录文件对用户操作时的用户识别符、登陆时间、注销时间、操作结果等要素进行至少每月一次的安全审核，并填相关的服务器操作系统日志审核记录。 第十六条数据库的直接访问修改操作通过人工记录填写相关的数据库访问修改操作审核记录，并由数据库管理员对用户操作时的用户识别符、登陆时间、注销时间、操作结果等要素进行至少每月一次的安全审核。 第十七条应用系统管理员应根据应用系统自身的日志记录，对应用系统用户操作时的对用户账号、权限的增加、修改、删除，用户识别符、登陆时间、注销时间、操作结果等要素进行每月一次的安全审核，并填制相关的应用系统日志审核记录。 第十八条相关管理员配合安全管理员对系统日志进行定期审计。 第十九条审计日志中的记录不允许在日志中包含密码，具体审计策略由安全管理员协调并配合各管理员制定。 第二十条要保护审计的日志程序和文件，严格控制访问权限。 第二十一条系统管理员的行为（如UNIX中的su）要做日志记录。 第二十二条用户的登录事件要做日志，重要的事件要进行审计跟踪。
Windows日志文件全解读
一、什么是日志文件 日志文件是Windows系统中一个比较特殊的文件，它记录着Windows系统中所发生的一切，如各种系统服务的启动、运行、关闭等信息。Windows日志包括应用程序、安全、系统等几个部分，它的存放路径是“%systemroot%system32config”，应用程序日志、安全日志和系统日志对应的文件名为AppEvent.evt、SecEvent.evt和SysEvent.evt。这些文件受到“Event Log（事件记录）”服务的保护不能被删除，但可以被清空。 二、如何查看日志文件 在Windows系统中查看日志文件很简单。点击“开始→设置→控制面板→管理工具→事件查看器”，在事件查看器窗口左栏中列出本机包含的日志类型，如应用程序、安全、系统等。查看某个日志记录也很简单，在左栏中选中某个类型的日志，如应用程序，接着在右栏中列出该类型日志的所有记录，双击其中某个记录，弹出“事件属性”对话框，显示出该记录的详细信息，这样我们就能准确的掌握系统中到底发生了什么事情，是否影响Windows的正常运行，一旦出现问题，即时查找排除。 三、Windows日志文件的保护 日志文件对我们如此重要，因此不能忽视对它的保护，防止发生某些“不法之徒”将日志文件清洗一空的情况。 1. 修改日志文件存放目录 Windows日志文件默认路径是“%systemroot%system32config”，我们可以通过修改注册表来改变它的存储目录，来增强对日志的保护。 点击“开始→运行”，在对话框中输入“Regedit”，回车后弹出注册表编辑器，依次展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系统日志。 笔者以应用程序日志为例，将其转移到“d:\cce”目录下。选中Application子项
系统安全保障方案V1.3.2
互联网信息化系统安全保障方案 互联网信息化系统 安全保障方案 （版本号：V1.3.2） 德州左宁商贸有限公司 2017年03月份
目录 互联网信息化系统 (1) 安全保障方案 (1) 目录 (2) 1、保障方案概述 (3) 2、系统安全目标与原则 (3) 2.1 安全设计目标 (3) 2.2 安全设计原则 (3) 3、系统安全需求分析 (4) 4、系统安全需求框架 (9) 5、安全基础设施 (9) 5.1 安全隔离措施 (10) 5.2 防病毒系统 (10) 5.3 监控检测系统 (10) 5.4 设备可靠性设计 (10) 5.5 备份恢复系统 (10) 6、系统应用安全 (11) 6.1 身份认证系统 (11) 6.2 用户权限管理 (11) 6.3 信息访问控制 (12) 6.4 系统日志与审计 (12) 6.5 数据完整性 (12) 7、安全管理体系 (13) 8、其他 (13)
1、保障方案概述 信息化系统运行在网络系统上，依托内外网向系统相关人员提供相关信息与服 务，系统中存在着大量非公开信息，如何保护这些信息的机密性和完整性、以及系 统的持续服务能力尤为重要，是信息化系统建设中必须认真解决的问题。 2、系统安全目标与原则 2.1 安全设计目标 信息化系统安全总体目标是：结合当前信息安全技术的发展水平，设计一套科 学合理的安全保障体系，形成有效的安全防护能力、隐患发现能力、应急反应能力 和系统恢复能力，从物理、网络、系统、应用和管理等方面保证“信息化系统”安 全、高效、可靠运行，保证信息的机密性、完整性、可用性和操作的不可否认性， 避免各种潜在的威胁。具体的安全目标是： 1）、具有灵活、方便、有效的用户管理机制、身份认证机制和授权管理机制， 保证关键业务操作的可控性和不可否认性。确保合法用户合法使用系统资源； 2）、能及时发现和阻断各种攻击行为，特别是防止DoS/DDoS等恶意攻击，确保信息化系统不受到攻击； 3）、确保信息化系统运行环境的安全，确保主机资源安全，及时发现系统和数据库的安全漏洞，以有效避免黑客攻击的发生，做到防患于未然； 4）、确保信息化系统不被病毒感染、传播和发作，阻止不怀好意的Java、ActiveX 小程序等攻击网络系统； 5）、具有与信息化系统相适应的信息安全保护机制，确保数据在存储、传输过程 中的完整性和敏感数据的机密性； 6）、拥有完善的安全管理保障体系，具有有效的应急处理和灾难恢复机制,确保突发事件后能迅速恢复系统； 7）、制定相关有安全要求和规范。 2.2 安全设计原则 信息化系统安全保障体系设计应遵循如下的原则：
基于Windows日志的安全审计技术研究
收稿日期:2008208220 基金项目:山东省自然科学基金(Y 2006G 20) 作者简介:宁兴旺(1984-),男,硕士研究生,主要研究方向为网络信息安全。 文章编号:100224026(2009)0120040206基于Windows 日志的安全审计技术研究 宁兴旺,刘培玉,孔祥霞 (山东师范大学信息科学与工程学院,山东济南250014) 摘要:事件日志记录着操作系统或应用程序中重要的事件。通过对日志进行分析,发现所需事件信息和规律 是安全审计的根本目的。文章讨论了对Windows 系统日志文件进行集中式统一管理,采用API 钩子技术实现 Windows 下的审计数据的获取,并通过对Windows 日志的分析给出了一种基于主机日志分析的安全审计通用 模型。 关键词:主机日志;安全审计;计算机安全 中图分类号:TP393 文献标识码:A R esearch on Windows Log B ased Security Audit Technology Ning X ing 2wang ,LI U Pei 2yu ,K ONG X iang 2xia (School o f Information Science and Engineering ,Shandong Normal Univer sity ,Jinan 250014,China ) Abstract :An event log records s ome im portant events of an operating system or an application procedure. It is the primary purpose of a security audit to discover the required information and rules of an event by the analysis of a log.This paper discusses the central and global managment of windows system log files , em ploys such a techanology as API hook to acquire the audit data of windows system ,and presents a host log analysis based security audit universal m odel by the analysis of a windows log. K ey w ords :host log ;security audit ;com puter security 近几年来,随着开放系统Internet 的飞速发展和电子商务的日益普及,网络信息安全问题日益突出,各类黑客攻击事件更是层出不穷。而相应发展起来的安全防护措施也日益增多,特别是防火墙技术以及I DS (入侵检测技术)更是成为大家关注的焦点。但是这两者都有自己的局限性。在这种情况下,安全审计系统应运而生。安全审计系统作为一个完整安全框架中的一个必要环节,一般处在入侵检测系统之后,作为对防火墙系统和入侵检测系统的一个补充。 根据安全审计系统的一般要求[1],参照美国国家标准《可信计算机系统评估标准》 (T rusted C om puter System Evaluation Criteria ),安全审计可以理解为: 定义1:一个安全的系统中的安全审计系统,是对系统中任一或所有安全相关事件进行记录、分析和再现的处理系统。 衡量一个安全审计系统好坏的标准主要有以下几个方面: (1)采集信息是否全面、安全和有效:一个好的安全审计系统能够审计出问题来,它必定要有足够多的信息去审计才可以保证系统能审计出问题来。采集到的信息是否足够全面,并且原始(没有被破坏或篡改)、第22卷 第1期 2009年2月 山东科学SH ANDONG SCIE NCE V ol.22 N o.1Feb.2009
系统安全保护设施设计方案标准版本
文件编号：RHD-QB-K1517 （解决方案范本系列） 编辑：XXXXXX 查核：XXXXXX 时间：XXXXXX 系统安全保护设施设计方案标准版本
系统安全保护设施设计方案标准版 本 操作指导：该解决方案文件为日常单位或公司为保证的工作、生产能够安全稳定地有效运转而制定的，并由相关人员在办理业务或操作时进行更好的判断与管理。，其中条款可根据自己现实基础上调整，请仔细浏览后进行编辑与保存。 随着信息化的高速发展，信息安全已成为网络信息系统能否正常运行所必须面对的问题，它贯穿于网络信息系统的整个生命周期。是保障系统安全的重要手段，通过安全检测，我们可以提前发现系统漏洞，分析安全风险，及时采取安全措施。 1物理安全保护措施 物理安全是信息系统安全中的基础，如果无法保证实体设备的安全，就会使计算机设备遭到破坏或是被不法分子入侵，计算机系统中的物理安全，首先机房采用“门禁系统”配合“监控系统”等控制手段来
控制机房出入记录有效的控制接触计算机系统的人员，由专人管理周记录、月总结。确保计算机系统物理环境的安全；其次采取设备线路准确标记、计算机设备周维护、月巡检以及机房动力环境监测短信报警等安全措施，确保计算机设备的安全。另外，通信线路是网络信息系统正常运行的信息管道，物理安全还包括通信线路实体的安全。检测网络信息系统物理安全的主要方法采用现场检查、方案审查等。 2网络安全保护措施 网络的开放性带来了方便的可用性，但也使其更容易受到外界的攻击和威胁。入侵者可以利用系统中的安全漏洞，采用恶意程序来攻击网络，篡改、窃取网络信息，从而导致网络瘫痪、系统停止运行。在网络维护过程中，我们采用深信服多级防设备严格的与网络攻防行为对抗，保障网络安全。
Windows登录类型及安全日志解析
一、Windows登录类型 如果你留意Windows系统的安全日志，在那些事件描述中你将会发现里面的“登录类型”并非全部相同，难道除了在键盘上进行交互式登录（登录类型1）之外还有其它类型吗？不错，Windows为了让你从日志中获得更多有价值的信息，它细分了很多种登录类型，以便让你区分登录者到底是从本地登录，还是从网络登录，以及其它更多的登录方式。因为了解了这些登录方式，将有助于你从事件日志中发现可疑的黑客行为，并能够判断其攻击方式。下面我们就来详细地看看Windows的登录类型。 登录类型2：交互式登录（Interactive） 这应该是你最先想到的登录方式吧，所谓交互式登录就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录，但不要忘记通过KVM登录仍然属于交互式登录，虽然它是基于网络的。 登录类型3：网络（Network） 当你从网络的上访问一台计算机时在大多数情况下Windows记为类型3，最常见的情况就是连接到共享文件夹或者共享打印机时。另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8，下面将讲述。 登录类型4：批处理（Batch） 当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划
日志管理制度
信息系统日志管理 第一章总则 第一条随着公司信息系统规模的逐步扩大，越来越多的主机、应用系统、网络设备加入到系统网络中，日志安全管理变得越来越复杂。为了规范公司信息系统运行过程中的日志安全管理，为系统运行监控、安全事件跟踪、系统审计等提供真实的日志数据，特制定本办法。 第二条本办法适用于公司信息系统日志安全管理过程。 第二章日志产生管理 第三条为了实时有效的产生必须的日志信息，应开启网络设备、安全设备、操作系统、数据库系统、应用系统等系统日志功能。 第四条一般需开启的日志功能项： （一）记录用户切换产生的日志； （二）系统的本地和远程登陆日志； （三）修改、删除数据； （四）为了掌握系统的性能开支，必须开启系统统计，周期性收集系统运行数据，包括 (CPU utilization, disk I/O等) ，管理人员应经常性查看系统负荷和性能峰值，从而判断系统是否被非法使用或受到过攻击。 第五条安全设备需开启的日志功能项： （一）流量监控的日志信息； （二）攻击防范的日志信息； （三）异常事件日志缺省为打开，可发送到告警缓冲区。 第六条本地日志文件不可以全局可写，通过修改日志的默认权限提高日志系统的安全性，防止非授权用户修改日志信息。 第七条安全日志最大值设置。安全日志最大值:>100MB。 第三章日志采集管理 第八条为了更好的保存日志和后续的处理，应创建专门的日志采集服务器。
第九条在指定用户日志服务器时，日志服务器的IP地址，日志服务器应使用1024以上的UDP端口作为日志接收端口。 第十条日志信息按重要性可按级别、用户、源IP、目的IP、事件、模块进行信息过滤。 第十一条日志要统一考虑各种攻击、事件，将各种日志输出格式、统计信息等内容进行规范，从而保证日志风格的统一和日志功能的严肃性。 第十二条网络设备的管理，配置网络设备的日志发送到日志采集服务器，日志采集服务器对其日志进行格式化、过滤、聚合等操作。 第四章日志审计 第十三条对公司敏感信息操作的相关日志，应对其加大审核的力度和频率。 第十四条网络设备、安全设备的系统和报警日志由安全管理员进行至少每月一次的安全审核，并填相关的网络设备日志审核记录，以及时发现问题，并根据问题采取相应措施。 第十五条重要服务器操作系统的操作记录由系统管理员根据操作系统记录文件对用户操作时的用户识别符、登陆时间、注销时间、操作结果等要素进行至少每月一次的安全审核，并填相关的服务器操作系统日志审核记录。 第十六条数据库的直接访问修改操作通过人工记录填写相关的数据库访问修改操作审核记录，并由数据库管理员对用户操作时的用户识别符、登陆时间、注销时间、操作结果等要素进行至少每月一次的安全审核。 第十七条应用系统管理员应根据应用系统自身的日志记录，对应用系统用户操作时的对用户账号、权限的增加、修改、删除，用户识别符、登陆时间、注销时间、操作结果等要素进行每月一次的安全审核，并填制相关的应用系统日志审核记录。 第十八条相关管理员配合安全管理员对系统日志进行定期审计。 第十九条审计日志中的记录不允许在日志中包含密码，具体审计策略由安全管理员协调并配合各管理员制定。 第二十条要保护审计的日志程序和文件，严格控制访问权限。 第二十一条系统管理员的行为（如UNIX中的su）要做日志记录。 第二十二条用户的登录事件要做日志，重要的事件要进行审计跟踪。
日志分析系统
日志分析系统 1.前言 随着江苏中烟信息化程度的不断提升，信息化系统的数目也不断增加，运维任务也不断增加。为了应对日益增加的信息化需求，提升服务质量，减轻运维工作，在信息系统服务化的基础上，迫切需要一个管理平台，实现对所有服务的管理和监控，这就是微服务平台。微服务平台能够实现devOps，服务的注册、发现、权限管理、监控、测试、故障预警，故障恢复等。 日志分析系统是微服务平台的重要组成部分，它能够对各服务的日志进行采集，存储，分析(找出异常的请求、统计报错情况、统计QPS、统计系统功能的使用情况、超负荷预警等)。同时，对系统资源的监控信息也可以以日志的形式，由日志分析系统分析。日志分析系统后台使用大数据平台来存储和分析日志，能够支持大量的日志，不需要担心日志的存储问题。 2.日志分析系统 2.1.功能 日志分析系统主要功能包括日志的采集、存储、分析。 日志采集常见的场景如：对webserver服务器的log文件进行监控，发现有变动时，采集变动的信息；对网络的某个端口监控，当此端口出现数据流时，采集数据流；监控程序定时的获取系统资源信息(同理，也适用于对JVM，tomcat的监控)；采集Http请求和响应(同理适用于rpc远程调用)。 日志的存储使用大数据平台。根据日志的类型，可以以非结构化或者结构化数据存储，也可以使用图数据库存储。 日志分析包括日志的离线和在线分析。离线分析借助大数据平台提供的SQL，对日志数据库中的所有数据进行统计分析，适合于统计QPS，系统功能使用情况。在线分析(实时分析)处理即时产生的日志信息，适合于预警，异常请求的监控。 2.2.结构
3.实现 3.1.要求 ?能够适配不同的日志数据，例如web server log、rpc log、syslog ?能够处理突发的大流量数据 ?能够检测日志系统的个节点的运行状态，并自动恢复 ?能够方便的和Hive、Spark、Hbase等集成 ?稳定的运行，尽量少占用资源 3.2.日志收集和路由 logstash是一种分布式日志收集框架，非常简洁强大，经常与ElasticSearch，Kibana配置，组成著名的ELK技术栈，非常适合用来做日志数据的分析。Logstash分为Shipper（收集日志），Broker（日志集线器，可以连接多个Shipper），Indexer（日志存储）。Shipper 支持多种类型的日志文件，且可以自定义插件支持更多的种类。Logstash采用JRuby语言实现，插件开发相对困难。Logstash可以通过配置正则表达式的方式，将日志解析为结构化数