设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15019] 2020-02-15_等保测评2.0：Windows安全审计 ...
返回列表 发新帖
查看: 0|回复: 0

[15019] 2020-02-15_等保测评2.0：Windows安全审计

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-02-15_等保测评2.0：Windows安全审计 等 保 测 评 2 . 0 ： W i n d o w s 安 全 审 计 起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 2 - 1 5 一 、 说 明 一 、 说 明 本 篇 文 章 主 要 说 一 说 本 篇 文 章 主 要 说 一 说 w i n d o w s 系 统 中 安 全 审 计 的 控 制 点 的 相 关 内 容 和 理 解 。 系 统 中 安 全 审 计 的 控 制 点 的 相 关 内 容 和 理 解 。 二 、 测 评 项 二 、 测 评 项 a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ； c ) 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； d ) 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 。 三 、 测 评 项 三 、 测 评 项 a a ) 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ； 对 于 w i n d o w s 而 言 ， 在 服 务 器 管 理 器 或 事 件 查 看 器 或 计 算 机 管 理 中 都 可 以 查 看 到 审 计 日 志 的 具 体 内 容 以 及 一 些 策 略 ： 分 别 可 以 在 运 行 框 中 输 入 C o m p M g m t L a u n c h e r 、 e v e n t v w r 、 c o m p m g m t . m s c 打 开 。 按 照 测 评 要 求 里 的 内 容 ， 该 测 评 项 存 在 三 个 递 进 的 要 求 ：
首 先 默 认 状 况 下 ， 日 志 审 计 功 能 都 是 开 启 的 ， 因 为 W i n d o w s   E v e n t   L o g 服 务 器 都 是 默 认 开 启 的 ， 而 且 一 般 情 况 下 也 关 不 掉 （ 所 以 一 般 情 况 下 开 启 安 全 审 计 功 能 这 个 要 求 是 符 合 的 ） ： 不 过 网 上 说 将 日 志 文 件 夹 的 权 限 全 部 去 掉 ， 系 统 也 无 法 记 录 日 志 ， 一 般 没 人 这 么 干 ：
对 于 第 2 个 要 求 ， 也 就 是 是 否 覆 盖 到 每 个 用 户 ， 在 默 认 状 况 下 是 否 符 合 就 不 好 说 的 。 至 于 第 3 个 要 求 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ， 肯 定 就 不 符 合 了 ， 因 为 默 认 的 审 核 策 略 都 是 未 开 启 ： 对 于 审 核 策 略 中 应 该 开 启 哪 些 策 略 ， 初 级 教 程 说 得 挺 明 白 的 ， 我 就 直 接 截 图 了 ：
四 、 测 评 项 四 、 测 评 项 b b ) 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ；
对 于 这 个 测 评 项 ， 其 主 旨 是 审 计 的 内 容 应 至 少 包 含 事 件 的 日 期 、 时 间 ， 涉 及 事 件 的 主 体 、 客 体 ， 事 件 的 结 果 以 及 事 件 的 内 容 这 些 信 息 ， 以 便 用 于 在 发 生 安 全 事 件 时 进 行 追 溯 。 4 . 1 .   时 间 信 息 时 间 信 息 这 里 第 一 个 要 注 意 的 就 是 日 期 和 时 间 ， 如 果 服 务 器 是 联 网 的 ， 那 么 可 以 自 己 通 过 网 络 进 行 时 间 同 步 ， 时 间 的 准 确 性 不 成 问 题 ： 但 是 如 果 服 务 器 本 身 不 联 网 ， 本 机 上 时 间 的 是 否 准 确 就 不 能 保 证 ， 也 就 无 法 保 证 事 件 中 日 期 、 时 间 等 信 息 的 准 确 性 。 所 以 对 于 局 域 网 内 的 服 务 器 ， 可 以 设 置 一 台 n t p 服 务 器 ， 该 n t p 服 务 器 对 外 联 网 ， 其 余 服 务 器 的 时 间 与 这 台 服 务 器 的 时 间 进 行 同 步 ， 以 该 n t p 服 务 器 的 时 间 为 准 。 具 体 n t p 服 务 器 如 何 设 置 ， 百 度 上 有 ： h t t p s : / / j i n g y a n . b a i d u . c o m / a r t i c l e / b 0 b 6 3 d b f 5 d 8 4 3 3 4 a 4 8 3 0 7 0 f a . h t m l 最 后 ， 设 置 完 n t p 服 务 器 后 ， 在 i n t e r n e t 时 间 设 置 中 将 服 务 器 的 i p 改 为 n t p 服 务 器 的 i p 即 可 ：
4 . 2 .   其 余 信 息 其 余 信 息 其 余 信 息 的 话 ， w i n d o w s 的 审 计 记 录 是 包 括 要 求 字 段 的 ， 理 论 上 默 认 就 符 合 该 测 评 项 。 但 是 我 个 人 理 解 有 些 测 评 项 是 递 进 的 ， 对 于 安 全 审 计 控 制 点 而 言 ， 如 果 审 计 功 能 没 有 开 启 ， 或 者 开 启 了 但 是 没 有 达 到 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 的 要 求 。 那 么 这 个 地 方 就 不 应 该 给 符 合 的 结 论 ， 顶 多 只 能 给 部 分 符 合 。 另 外 插 一 句 嘴 ， 在 写 测 评 记 录 表 的 时 候 ， 要 按 照 实 际 情 况 来 写 ， 而 不 是 直 接 复 制 测 评 项 中 的 文 字 。 比 如 w i n d o w s 的 安 全 审 计 的 测 评 项 b ， 要 写 就 写 实 际 的 审 计 记 录 中 包 含 的 字 段 ， 如 级 别 、 用 户 、 记 录 时 间 等 。 而 不 是 去 直 接 复 制 测 评 项 中 的 内 容 ， 比 如 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 等 。 五 、 测 评 项 五 、 测 评 项 c 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ； 5 . 1 .   日 志 的 内 容 日 志 的 内 容 w i n d o w s 中 的 日 志 一 般 我 们 比 较 关 注 应 用 程 序 日 志 、 安 全 日 志 、 系 统 日 志 （ 其 中 最 重 要 的 是 安 全 日 志 ） ， 其 包 含 内 容
为 ： 5 . 2 .   文 件 权 限 文 件 权 限 这 里 首 先 应 该 是 查 看 审 计 记 录 文 件 的 权 限 ， 是 否 会 被 未 授 权 用 户 删 除 。 w i n d o w s 中 的 日 志 一 般 我 们 比 较 关 注 应 用 程 序 日 志 、 安 全 日 志 、 系 统 日 志 （ 其 中 最 重 要 的 是 安 全 日 志 ） ， 其 存 储 文 件 分 别 是 ：
这 三 个 文 件 的 权 限 ， 在 w i n d o w s 2 0 0 8   r 2 中 默 认 为 ：
三 个 文 件 的 所 有 者 均 为 ： L O C A L   S E R V I C E 每 个 文 件 的 权 限 拥 有 者 e v e n t l o g 是 啥 我 也 不 很 清 楚 ， 应 该 是 W i n d o w s 里 的 一 个 内 置 安 全 体 。 也 就 是 从 默 认 情 况 来 看 ， 只 有 隶 属 于 a d m i n i s t r a t o r s 组 的 用 户 才 拥 有 直 接 对 文 件 进 行 删 除 的 权 限 。 5 . 3 .   事 件 查 看 器 的 权 限 事 件 查 看 器 的 权 限 另 外 ， 在 事 件 查 看 器 中 可 以 直 接 清 空 日 志 ， 对 于 一 个 隶 属 于 u s e r s 的 普 通 用 户 而 言 ， 在 事 件 查 看 器 中 ， 安 全 日 志 看 都 看 不 了 ， 其 余 的 日 志 可 看 ， 但 均 不 可 操 作 ：
对 于 任 何 一 个 日 志 ， 都 无 权 进 行 清 空 以 及 属 性 设 置 ： 将 该 普 通 用 户 添 加 到 e v e n t   l o g   r e a d e r 组 后 ， 可 以 查 看 安 全 日 志 了 ， 但 对 于 所 有 日 志 仍 然 不 能 操 作 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:22 , Processed in 0.751166 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表