巧用Windows2008審核 自動(dòng)監(jiān)控網(wǎng)絡(luò)共享變化
原創(chuàng)為了方便局域網(wǎng)用戶訪問(wèn)，不少單位往往會(huì)將重要的數(shù)據(jù)信息上傳到類似Windows Server 2008系統(tǒng)的服務(wù)器中，并將這些數(shù)據(jù)信息設(shè)置成共享狀態(tài)發(fā)布出去，任何上網(wǎng)用戶都能憑借共享訪問(wèn)賬戶自由訪問(wèn)重要數(shù)據(jù)信息。然而，也有一些不安好心的訪問(wèn)用戶，在共享訪問(wèn)重要數(shù)據(jù)信息的過(guò)程中，隨意更改、刪除單位發(fā)布的重要信息，容易造成其他人員無(wú)法獲取準(zhǔn)確的數(shù)據(jù)內(nèi)容；那么我們能否找到一種合適的辦法，來(lái)自動(dòng)監(jiān)控Windows Server 2008服務(wù)器系統(tǒng)中的共享內(nèi)容變化情況，一旦發(fā)現(xiàn)共享內(nèi)容被更改、刪除時(shí)，我們就能自動(dòng)收到報(bào)警提示呢？其實(shí)很簡(jiǎn)單，我們只要用好Windows Server 2008服務(wù)器系統(tǒng)中的審核功能，就能對(duì)其中的共享內(nèi)容變化情況進(jìn)行輕松自動(dòng)監(jiān)控了！
巧用Windows2008審核之自動(dòng)監(jiān)控思路
審核功能雖然不是Windows Server 2008服務(wù)器系統(tǒng)特有的功能，但是它配合該系統(tǒng)新推出的附加任務(wù)到事件功能，可以對(duì)賬戶狀態(tài)的變化、登錄狀態(tài)的變化、文件夾的變化等若干事件進(jìn)行監(jiān)控，這自然也包括對(duì)共享文件夾中的內(nèi)容變化進(jìn)行監(jiān)控了。
為了實(shí)現(xiàn)自動(dòng)監(jiān)控的目的，我們可以先用手工方法啟用針對(duì)共享文件夾的審核對(duì)象訪問(wèn)策略，日后Windows Server 2008服務(wù)器系統(tǒng)中的目標(biāo)共享資源一旦被他人訪問(wèn)或修改時(shí)，對(duì)應(yīng)系統(tǒng)的日志功能就會(huì)將該操作記錄記憶保存下來(lái)，此時(shí)我們可以針對(duì)這種類型的事件，附加一個(gè)自動(dòng)報(bào)警任務(wù)，這樣一來(lái)只要目標(biāo)共享文件夾的狀態(tài)發(fā)生變化，那么附加到對(duì)應(yīng)操作記錄上的自動(dòng)報(bào)警任務(wù)就可以自動(dòng)運(yùn)行，我們收到報(bào)警提示后，就能立即監(jiān)控到Windows Server 2008服務(wù)器系統(tǒng)的共享狀態(tài)變化了。
巧用Windows2008審核之啟用審核功能
大家知道，Windows Server 2008服務(wù)器系統(tǒng)在默認(rèn)狀態(tài)下不會(huì)對(duì)共享文件夾的訪問(wèn)操作進(jìn)行跟蹤記錄，那么對(duì)應(yīng)系統(tǒng)的日志功能自然也不會(huì)記錄共享文件夾的操作痕跡了；為了能夠觀察到共享文件夾的狀態(tài)變化，我們必須先要在Windows Server 2008服務(wù)器系統(tǒng)中啟用針對(duì)共享文件夾的審核對(duì)象訪問(wèn)功能，只要該功能被成功啟用了，那么對(duì)應(yīng)系統(tǒng)的日志功能就會(huì)把任何訪問(wèn)共享文件夾的記錄保存到系統(tǒng)日志文件中了，日后我們才能針對(duì)某類特定的事件附加一個(gè)自動(dòng)報(bào)警的任務(wù)計(jì)劃；下面是啟用Windows Server 2008服務(wù)器系統(tǒng)審核對(duì)象訪問(wèn)功能的具體操作步驟：
首先依次單擊Windows Server 2008服務(wù)器系統(tǒng)桌面上的“開(kāi)始”、“設(shè)置”、“控制面板”選項(xiàng)，打開(kāi)對(duì)應(yīng)系統(tǒng)的控制面板窗口，用鼠標(biāo)雙擊其中的“管理工具”圖標(biāo)，進(jìn)入管理工具列表界面；
其次用鼠標(biāo)雙擊該界面中的“本地安全策略”圖標(biāo)，彈出對(duì)應(yīng)系統(tǒng)的本地安全策略編輯界面，將鼠標(biāo)定位于該界面左側(cè)位置處的“本地策略”分支項(xiàng)目上，再?gòu)哪繕?biāo)分支下面依次選中“審核策略”、“審核對(duì)象訪問(wèn)”選項(xiàng)，之后用鼠標(biāo)右鍵單擊該選項(xiàng)，并執(zhí)行快捷菜單中的“屬性”命令，彈出如圖1所示的審核對(duì)象訪問(wèn)屬性設(shè)置對(duì)話框；
將該對(duì)話框中的“成功”復(fù)選項(xiàng)選中，同時(shí)單擊“確定”按鈕，這樣一來(lái)針對(duì)共享文件夾訪問(wèn)操作的審核功能就被啟用成功了，日后我們通過(guò)網(wǎng)絡(luò)或在本地修改、刪除Windows Server 2008服務(wù)器系統(tǒng)中的共享內(nèi)容時(shí)，對(duì)應(yīng)系統(tǒng)的事件查看器程序就會(huì)將這些操作記錄自動(dòng)記憶保存下來(lái)。
巧用Windows2008審核之記錄共享操作
為了讓共享狀態(tài)變化的監(jiān)控結(jié)果自動(dòng)通知給用戶，我們需要想辦法創(chuàng)建一個(gè)自動(dòng)報(bào)警任務(wù)，以便在Windows Server 2008服務(wù)器系統(tǒng)的共享狀態(tài)發(fā)生變化的那一刻，該報(bào)警任務(wù)能夠自動(dòng)觸發(fā)運(yùn)行，實(shí)現(xiàn)通知、提示用戶的目的。要做到這一點(diǎn)，我們必須先在本地服務(wù)器系統(tǒng)中生成一個(gè)共享訪問(wèn)記錄，只有這樣自動(dòng)報(bào)警任務(wù)才能附加到這類操作事件上，下面是手工生成共享訪問(wèn)記錄事件的操作步驟：
首先從局域網(wǎng)中任意選擇一臺(tái)普通工作站系統(tǒng)，通過(guò)網(wǎng)絡(luò)遠(yuǎn)程登錄進(jìn)Windows Server 2008服務(wù)器系統(tǒng)，并嘗試修改目標(biāo)共享文件夾中的內(nèi)容，修改完畢后，對(duì)應(yīng)系統(tǒng)的日志功能就會(huì)將該操作記錄記憶保存下來(lái)；
其次用鼠標(biāo)右鍵單擊Windows Server 2008服務(wù)器系統(tǒng)桌面上的“計(jì)算機(jī)”圖標(biāo)，從彈出的快捷菜單中執(zhí)行“管理”命令，打開(kāi)對(duì)應(yīng)系統(tǒng)的計(jì)算機(jī)管理窗口，從該管理窗口的左側(cè)列表中依次展開(kāi)“系統(tǒng)工具”、“事件查看器”、“Windows日志”、“系統(tǒng)”分支選項(xiàng)（如圖2所示），在對(duì)應(yīng)“系統(tǒng)”分支選項(xiàng)的右側(cè)列表區(qū)域中，我們就能找到剛才生成的共享訪問(wèn)操作記錄了。
巧用Windows2008審核之實(shí)現(xiàn)監(jiān)控報(bào)警
盡管Windows Server 2008服務(wù)器系統(tǒng)的日志功能可以自動(dòng)記憶共享訪問(wèn)操作的痕跡，可是它無(wú)法將其監(jiān)控、記錄的結(jié)果自動(dòng)通知給服務(wù)器系統(tǒng)的“主人”，為了實(shí)現(xiàn)自動(dòng)監(jiān)控報(bào)警的目的，我們可以按照下面的操作將自動(dòng)報(bào)警任務(wù)附加到共享訪問(wèn)操作記錄上，日后只要相同類型的事件再次生成時(shí)，那么該自動(dòng)報(bào)警任務(wù)就能自動(dòng)執(zhí)行了，到時(shí)服務(wù)器系統(tǒng)的“主人”就能收到相應(yīng)的報(bào)警提示了：
首先按照前面的操作打開(kāi)Windows Server 2008服務(wù)器系統(tǒng)的計(jì)算機(jī)管理窗口，從該管理窗口的左側(cè)列表中依次展開(kāi)“系統(tǒng)工具”、“事件查看器”、“Windows日志”、“系統(tǒng)”分支選項(xiàng)，在對(duì)應(yīng)“系統(tǒng)”分支選項(xiàng)的右側(cè)列表區(qū)域中，選中剛才生成的共享訪問(wèn)操作記錄選項(xiàng)；
其次用鼠標(biāo)右鍵單擊該記錄選項(xiàng)，從彈出的快捷菜單中執(zhí)行“將任務(wù)附加到此事件”命令，打開(kāi)自動(dòng)報(bào)警任務(wù)的創(chuàng)建向?qū)?duì)話框，依照向?qū)聊坏奶崾鞠葘⒃撊蝿?wù)名稱取為“自動(dòng)監(jiān)控共享狀態(tài)”，之后單擊“下一步”按鈕，向?qū)聊粫?huì)彈出一些提示信息，在確認(rèn)這些內(nèi)容正確無(wú)誤后，再單擊“下一步”按鈕，彈出如圖3所示的設(shè)置對(duì)話框；
在該對(duì)話框中，我們看到Windows Server 2008服務(wù)器系統(tǒng)為用戶提供了三種報(bào)警提示方式：?jiǎn)?dòng)應(yīng)用程序、發(fā)送電子郵件、顯示報(bào)警信息等，在這里我們可以選用更為顯眼的報(bào)警提示方式——“顯示消息”選項(xiàng)，之后將報(bào)警消息的標(biāo)題設(shè)置為“監(jiān)控共享狀態(tài)”，將報(bào)警提示的內(nèi)容設(shè)置為“注意！服務(wù)器中共享內(nèi)容的狀態(tài)已經(jīng)發(fā)生變化！”，最后點(diǎn)擊“完成”按鈕結(jié)束自動(dòng)報(bào)警任務(wù)的創(chuàng)建操作。
到了這里，Windows Server 2008服務(wù)器系統(tǒng)就可以對(duì)其中的共享文件夾狀態(tài)變化進(jìn)行自動(dòng)監(jiān)控、報(bào)警了。日后，只要有惡意用戶通過(guò)局域網(wǎng)網(wǎng)絡(luò)偷偷更改、刪除本地服務(wù)器系統(tǒng)中時(shí)，Windows Server 2008系統(tǒng)屏幕上就會(huì)自動(dòng)出現(xiàn)報(bào)警提示，告訴我們“注意！服務(wù)器中共享內(nèi)容的狀態(tài)已經(jīng)發(fā)生變化！”，見(jiàn)到這樣的報(bào)警提示，我們就能在第一時(shí)間知道本地共享資源可能已經(jīng)被他人修改或訪問(wèn)了，到時(shí)我們就能采取針對(duì)性措施進(jìn)行安全防范了。
【編輯推薦】
