企業(yè)安全管理：免費(fèi)的Windows集中式審計(jì)
很多人都會(huì)問這樣的問題，如何集中不同計(jì)算機(jī)的事件查看器產(chǎn)生的日志?因?yàn)槲④浗鉀Q方案并不提供這個(gè)功能，因此我們過去只能使用第三方產(chǎn)品。不過現(xiàn)在發(fā)布的Windows Server 2008和windows Vista讓集中化日志記錄成為可能。如果你沒有Windows Server 2008和windows Vista，那也不用擔(dān)心，因?yàn)槲④浌緦⑷罩居涗浖谢芾淼墓δ芤蚕蚝蠹嫒莸搅薟indows Server3和Windows XP客戶端。沒錯(cuò)，只要你有Windows Server 2008或者windows Vista，你就能為Windows計(jì)算機(jī)進(jìn)行集中日志管理。
進(jìn)行集中日志管理的計(jì)算機(jī)要求和配置
任何Windows Server 2008或者windows Vista都可以成為你的集中日志計(jì)算機(jī)，這就意味著，你在Windows Server 2008、Windows Server 2003、Windows Vista或者Windows XP等計(jì)算機(jī)上配置的所有日志都可以發(fā)送到集中日志計(jì)算機(jī)進(jìn)行一站式處理。
如果你希望利用你的Windows Server 2008或者windows Vista來集中處理日志，真的不需要進(jìn)行太多的工作，不過你至少需要將計(jì)算機(jī)配置為支持日志，你可以通過從提升的命令提示符中運(yùn)行一些命令來實(shí)現(xiàn)。
注意：
當(dāng)用戶帳戶控制(User Account Control)已經(jīng)啟用時(shí)，命令提示符必須被提升。
你需要運(yùn)行的第一個(gè)命令將在計(jì)算機(jī)上建立遠(yuǎn)程管理器(Remote Management)，就是以下命令：
winrm qc |
該命令將會(huì)生成一個(gè)響應(yīng)信息，告訴你某些任務(wù)需要由系統(tǒng)來執(zhí)行，你只需要確認(rèn)“Yes”，該信息可以在圖1中看到。
注意：
如果你在命令結(jié)尾處使用-q switch，命令和行動(dòng)將自動(dòng)安靜的進(jìn)行執(zhí)行。
圖1：在Windows Vista計(jì)算機(jī)上配置遠(yuǎn)程管理
當(dāng)你輸入Y來進(jìn)行更改時(shí)，將會(huì)立即顯示結(jié)果告訴你操作成功。
第二個(gè)命令將會(huì)配置Event Collector服務(wù)，這個(gè)命令很類似，但是可以控制Event Collector服務(wù)：
wecutil qc /q |
再一次，你會(huì)收到操作成功的確認(rèn)信息。
集中日志管理的計(jì)算機(jī)要求和配置
如果你使用Windows Server 2008 或者Windows Vista作為源計(jì)算機(jī)，那么你只需要運(yùn)行一個(gè)命令讓計(jì)算機(jī)隨時(shí)準(zhǔn)備向中央日志計(jì)算機(jī)發(fā)送信息，使用的命令與上文中所說的安裝遠(yuǎn)程管理器的命令相同：
winrm qc –q |
如果你使用的是Windows Server 2003或者 XP，你將需要為操作系統(tǒng)下載并安裝遠(yuǎn)程管理的Forwarding部分。
注意：
在正確配置發(fā)送日志功能時(shí)，你必須在Windows Server 2003上安裝SP1，Windows XP系統(tǒng)上安裝SP2。
安裝好后，接著你再執(zhí)行相同的遠(yuǎn)程管理配置字符串。
winrm qc –q |
注意：
你必須具備管理權(quán)限才能執(zhí)行此配置。
你可以通過啟動(dòng)Event Viewer來檢查配置情況，當(dāng)開啟Event Viewer，你需要查看以下名為Microsoft-Windows-Forwarding/Operational新節(jié)點(diǎn)，如圖2所示。
圖2：Event Viewer中的 Windows XP轉(zhuǎn)發(fā)日志 #p#
安裝Subscription
對(duì)subscription的配置需要在中央日志計(jì)算機(jī)上執(zhí)行，對(duì)于這些步驟泥漿需要進(jìn)行以下配置：
◆Computer name：你想要收集日志信息的計(jì)算機(jī)
◆Event type (例如關(guān)鍵、錯(cuò)誤和警告等)
◆By log (例如系統(tǒng)和應(yīng)用程序等)
◆By source
◆Event ID(s)(通常不會(huì)想要收集所有時(shí)間，那么就應(yīng)該把這些事件都列出來)
◆Keywords
◆User or Computer
注意：
并不是上述所有都是必須的，但是可以作為選擇。
第一步你首先要確定你想要從哪些計(jì)算機(jī)收集信息，這可以通過右鍵單擊事件查看器中的Subscription節(jié)點(diǎn)來實(shí)現(xiàn)，然后選擇新建Subscription，在Subscription Properties框中，選擇Select Computers按鈕，如圖3所示。
圖3：Subscription Properties對(duì)話框可以讓你配置想要收集的計(jì)算機(jī)日志
在計(jì)算機(jī)對(duì)話框中，你可以添加Domain Computers到想要收集日志信息的計(jì)算機(jī)列表中，這是很有用的，因?yàn)槟憧梢詣?chuàng)建一個(gè)Subscription來收集來自很多計(jì)算機(jī)的類似事件，并將其卻認(rèn)為一組事件。同時(shí)還有一個(gè)Test選項(xiàng)，為了確保中央計(jì)算機(jī)可以查看其收集事件的遠(yuǎn)程計(jì)算機(jī)，如圖4所示。
圖4：你可以測(cè)試以確保你收集日志的計(jì)算機(jī)進(jìn)行了正確的配置
在配置好這些源計(jì)算機(jī)后，現(xiàn)在你只需要配置事件以及你想要收集的詳細(xì)細(xì)節(jié)，圖5中顯示的是你的可選項(xiàng)。
圖5：每個(gè)subscription都可以允許你對(duì)收集的信息提出細(xì)節(jié)要求
在配置好想要收集的事件類型后，基于眾多可用的選項(xiàng)，你只需要等待收集到源計(jì)算機(jī)的事件并發(fā)送到中央日志計(jì)算機(jī)即可。 #p#
查看收集的事件
要想查看收集到中央日志計(jì)算機(jī)的事件，你只需要到事件查看器即可查看。在這里，你將會(huì)看到Windows Logs下名為Forwarded Events的節(jié)點(diǎn)，源計(jì)算機(jī)配置為發(fā)送所有事件到該位置，你當(dāng)然也可以設(shè)置自定義試圖分割以及將事件按照自定義的格式進(jìn)行排列(如果你收集的是來自很多計(jì)算機(jī)和不同類型的事件的話，這樣做將很有幫助)。圖6顯示的是從Windows XP計(jì)算機(jī)收集來的事件信息，顯示在Windows Server 2008計(jì)算機(jī)上。
圖6：由Windows XP收集的事件并發(fā)送到Windows Server 2008中央日志計(jì)算機(jī)
總結(jié)
對(duì)于負(fù)責(zé)管理和查看事件日志的人員，現(xiàn)在可以利用Windows Server 2008 和Windows Vista中的新技術(shù)來創(chuàng)建集中式日志管理計(jì)算機(jī)。只要安裝好了這種集中式日至管理計(jì)算機(jī)，你就只需要初始化源計(jì)算機(jī)上的遠(yuǎn)程管理組件即可。源計(jì)算機(jī)可以是Windows XP SP2、Windows Server 2003 SP1、Windows Vista或者 Windows Server 2008。另外可以在中央日志管理計(jì)算機(jī)上安裝Subscription，你只需要確定你想要收集來自哪些計(jì)算機(jī)的事件以及收集的事件類型。至于其他計(jì)算機(jī)，你只需要查看中央日志管理計(jì)算機(jī)的事件查看器就可以看到網(wǎng)絡(luò)中各地的事件情況。
【編輯推薦】
