网络管理员必备:Windows日志的保护与伪造
一:概述:
Windows 2000的系统日志文件有应用程序日志,安全日志、系统日志、DNS服务器日志等等,应用程序日志、安全日志、系统日志、DNS日志默认位置:%systemroot%\system32\config,默认文件大小512KB。
安全日志文件:%systemroot%\system32\config\SecEvent.EVT
系统日志文件:%systemroot%\system32\config\SysEvent.EVT
应用程序日志文件:%systemroot%\system32\config\AppEvent.EVT
这些LOG文件在注册表中的:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog有的管理员很可能将这些日志重定位。其中EVENTLOG下面有很多的子表,里面可查到以上日志的定位目录。
二:作为网络管理员:
1.日志的安全配置:
默认的条件下,日志的大小为512KB大小,如果超出则会报错,并且不会再记录任何日志。所以首要任务是更改默认大小,具体方法:注册表中 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog对应的每个日志如系统, 安全,应用程序等均有一个maxsize子键,修改即可。
下面给出一个来自微软站点的一个脚本,利用VMI来设定日志最大25MB,并允许日志自行覆盖14天前的日志:
该脚本利用的是WMI对象, WMI(Windows Management Instrumentation)技术是微软提供的Windows下的系统管理工具。通过该工具可以在本地或者管理客户端系统中几乎一切的信息。很多专业 的网络管理工具都是基于WMI开发的。该工具在Win2000以及WinNT下是标准工具,在Win9X下是扩展安装选项。所以以下的代码在2000以上 均可运行成功。
strComputer = "."
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate,(Security)}!\\" & _
strComputer & "\root\cimv2") ''获得VMI对象
Set colLogFiles = objWMIService.ExecQuery _
("Select * from Win32_NTEventLogFile")
For each objLogfile in colLogFiles
strLogFileName = objLogfile.Name
Set wmiSWbemObject = GetObject _
("winmgmts:{impersonationLevel=Impersonate}!\\.\root\cimv2:" _
& "Win32_NTEventlogFile.Name=''" & strLogFileName & "''")
wmiSWbemObject.MaxFileSize = 2500000000
wmiSWbemObject.OverwriteOutdated = 14
wmiSWbemObject.Put_
Next
将上述脚本用记事本存盘为vbs为后缀的即可使用。
另外需要说明的是代码中的strComputer="."在Windows脚本中的含义相当于localhost,如果要在远程主机上执行代码,只需 要把"."改动为主机名,当然首先得拥有对方主机的管理员权限并建立IPC连接.本文中的代码所出现的strComputer均可作如此改动。
2. 日志的查询与备份:
一个优秀的管理员是应该养成备份日志的习惯,如果有条件的话还应该把日志转存到备份机器上或直接转储到打印机上,在这里推荐微软的resourceKit工具箱中的dumpel.exe,他的常用方法:
dumpel -f filename -s \\server -l log
-f filename 输出日志的位置和文件名
-s \\server 输出远程计算机日志
-l log log 可选的为system,security,application,可能还有别的如DNS等.
如要把目标服务器server上的系统日志转存为backupsystem.log可以用以下格式:
dumpel \\server -l system -f backupsystem.log
再利用计划任务可以实现定期备份系统日志。
另外利用脚本编程的VMI对象也可以轻而易举的实现日志备份:
下面给出备份application日志的代码:
backuplog.vbs
strComputer = "."
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate,(Backup)}!\\" & _
strComputer & "\root\cimv2") ''获得 VMI对象
Set colLogFiles = objWMIService.ExecQuery _
("Select * from Win32_NTEventLogFile where LogFileName=''Application''") ''获取日志对象中的应用程序日志
For Each objLogfile in colLogFiles
errBackupLog = objLogFile.BackupEventLog("f:\application.evt") ''将日志备份为f:\application.evt
If errBackupLog 0 Then
Wscript.Echo "The Application event log could not be backed up."
else Wscript.Echo "success backup log"
End If
Next
程序说明:如果备份成功将窗口提示:"success backup log" 否则提示:"The Application event log could not be backed up",此处备份的日志为application 备份位置为f:\application.evt,可以自行修改,此处备份的格式为evt的原始格式,用记事本打开则为乱码,这一点他不如dumpel用 得方便。
转载于:https://blog.51cto.com/gogo11/114344
网络管理员必备:Windows日志的保护与伪造相关推荐
- 网络管理员必备工具_EventLog Analyzer一款强大的日志管理工具
网络管理员的日常工作内容可能非常繁杂.针对于公司的不同需求网络管理员需要具备各类设备的维护技能.但无论这些工作有什么不同,有一样技能是他们必须具备的,那就是网络信息安全维护能力.我们知道网络信息安全对 ...
- 成功网络管理员必备“软件”素质
做一名成功的网管员不仅要进行网络的规划设计.网络设备的招投标.系统集成等事项外,必须具备一定的"硬件"素质,能选择和采购好的网络设备,进行安装.配置和调试,保证局域网正常.稳定地运 ...
- Windows日志及其保护
日志文件(log)记录着Windows系统及其各种服务运行的每个细节,对增强Windows的稳定和安全性,起着非常重要的作用.如果不注意对它保护,被人将日志文件清空或篡改,会给系统带来严重的安全隐患. ...
- 网络管理员在预先分配和识别作为_14个网络管理员必备的最佳网络流量分析工具,收藏了...
企业网络每天都会产生大量数据.企业可以分析这些数据,以深入了解网络运行情况或发现安全威胁.网络流量分析(NTA)解决方案允许网络管理员收集流经网络的流量数据.这些工具通常用于识别性能问题和/或发现安全 ...
- 网络管理员在预先分配和识别作为_网络管理员必备流量分析工具,果断转发收藏!...
企业网络每天都会产生大量数据.企业可以分析这些数据,以深入了解网络运行情况或发现安全威胁.网络流量分析(NTA)解决方案允许网络管理员收集流经网络的流量数据.这些工具通常用于识别性能问题和/或发现安全 ...
- 现代网络管理员必备技能
1.5台左右计算机的网络环境 ●网络的基础知识:包括对网络认识.分类及拓扑结构的理解: ●网络的搭建:网线制作及网络设备的连接,如何制作网线,布线的注意事项及网络中设备的互 ●网络规划:如何根据企业的 ...
- 分享10个网管必备的日志分析工具
为什么需要日志分析工具? 连接到网络的每个设备或应用都会创建日志文件.网络管理员使用这些日志文件来查看性能数据.这些工具很有用,因为它们提供了对用户本来不具备的数据的访问权限.日志分析工具从设备的日志 ...
- windows 无法访问 您没有权限访问请与网络管理员联系请求访问权限
办公室装的都是win7,将自己的文件夹想共享给其他电脑,他们可以发现我的计算机,但是无法打开文件夹,并提示: 网络错误 windows 无法访问 您没有权限访问请与网络管理员联系请求访问权限 后来找到 ...
- ESX与ESXi管理员必备25个命令
ESX与ESXi管理员必备25个命令 VMware ESX和ESXi命令 这些VMware ESX和ESXi的命令可以运行在ESX服务控制台(本地或远程使用Secure Shell)或RCLI(在VM ...
- Windows日志分析(上)
Windows日志分析(上) 在我们Blue Team,针对Windows日志分析的场景占绝大多数,Windows 事件日志记录提供了源.用户名.计算机.事件类型和级别等详细信息,并显示应用程序和系统 ...
最新文章
- RDLC SubReports Exporting to Excel Are Ignored
- yii2 redis封装类 php,yii2项目中如何使用redis
- 记录java对象修改过的字段_Java垃圾回收器与内存回收策略
- win7和Ubuntu16.04之间相互远程控制
- Python与Java曝漏洞,黑客利用FTP注入攻击可绕过防火墙
- 通过windows远程访问linux桌面的方法(简单)
- 小米红米有锁机如何刷机升级MIUI12.5系统-完美解锁机刷机教程
- [经验] (转帖)IGBT终于不炸了!详解逆变H桥IGBT单管驱动+保护
- 制作基于WiFi局域网的自动开门装置2.0(Arduino+微信小程序)
- 谷歌浏览器Chrome显示乱码怎么办?
- 移动端 Retina屏 各大主流网站1px的解决方案
- 北京师范大学计算机学院 姚力,姚力(北京师范大学信息科学与技术学院院长)_百度百科...
- 摩托罗拉Android系统,摩托罗拉官方Android 4.0系统正式到来
- 多看系统下载_看了辣么多的圣诞蛋糕,出事儿了吧?学吧——来自KA·MM店内的马卡拉劈柴蛋糕(已打包·可下载)...
- 【VA 视频软件】(壹) TheoraConverter.NET
- 你投的简历提示不合适,建议参考STAR法则
- Python初遇问题5.16
- access2007 mysql_access2007使用方法,access2007使用教程
- 顾盼华发鸿蒙怦然而梦是什么意思,最美的承诺情话
- python3制作捧腹网段子页爬虫
热门文章
- linux网络子系统分析(四)—— INET连接建立API分析之connect/accept
- PHP下添加PDO_Pgsql扩展
- unity update 协程_[转载]【转载】unity3D中使用协程来做“多次调用一次更新”特性的一个大坑。...
- 地表温度数据、LST温度数据、地表反照率、NDVI数据、NPP数据、植被覆盖度、土地利用数据
- linux下解压java压缩包报错
- cpu win10 安装yolo_Win10 超详细 0基础 搭建YOLOV5教程【环境搭建篇】
- springboot单元测试_springboot2.x基础教程:单元测试
- python读取文件中的内容_python逐行读取文件内容的三种方法
- html限制显示字数其余用...代替,html实现钝角效果;html实现限制一行字数的显示,超出的部分用省略号(....)来代替...
- 按照软件的模板规范要求,修改了模板中的字体大小,为何展示时,字体并未发生变化?