Hệ thống Logs

Tình huống sau:

Hệ thống mạng của bạn có Server lưu trữ rất nhiều thông tin quan trọng cho các phòng ban trong tổ chức, Bạn thường chia sẽ để cho các người dùng trong phòng ban lưu trữ lên và copy tài liệu về. Nhưng có một số người dùng khác không thiện cảm với Admin nên xóa mất các file, thư mục mà bạn chia sẽ.

Vậy bạn làm sao để có thể phát hiện ra User nào đã hành động như vậy?

Hệ thống Logs

Hệ thống lưu lại quá trình hoạt động trên mạng là rất cần thiết, nó giống hộp đen của các thiết bị khác.

Log là hệ thống cho phép bạn xem lại các sự kiện đã xảy ra trong hệ thống một cách chi tiết cụ thể như: user, time, computer, services, thời gian, người dùng đăng nhập, địa chỉ IP,…

Trong phần này anninhmang giới thiệu công cụ có sẵn trong Windows

Thực hiện trên Windows Server 2008R2

Trên Server:

Bạn đang chia sẽ thư mục C:\Tailieu-annninhmang

Bước 1: Thiết lập Policy bật tính năng kiểm định (audit)

Nếu PC của bạn là máy tính Client thì bạn vào công cụ Local Group Policy bằng lệnh gpedit.msc

Còn nếu đang là Domain Controllers thì vào công cụ Group Policy Managerment, hiển thị các mục ra như hình dưới.

Hình 1: Mở công cụ Group Policy Managerment

Kế đến chuột phải vào mục Audit Object Access

Kế đến cập nhật Group Policy bằng lệnh Gpupdate /force

Với thiết lập trong group policy có nghĩa bạn chỉ enable tính năng cho phép hệ thống ghi lại, mặc định hệ thống sau khi thiết lập này sẽ ghi lại event với các đối tượng hệ thống như registry… Còn muốn một quá trình truy cập vào folder mà được lưu lại thì phải thiết lập trên folder ở bước 2

Bước 2: Cấu hình chia sẽ và security thư mục

Chuột phải trên thư mục cần kiểm định chọn Properties

Thiết lập cấu hình chia sẽ thư mục này với quyền cho phép Change

Bước 3: Cấu hình thư mục cần kiểm định

Chọn Advanced, chọn mục Audit

Thêm nhóm bạn cần kiểm định vào và chọn các mục cần kiểm định

Thiết lập các mục cần kiểm định

Bước 3: Kiểm tra sự kiểm định

Bạn dùng PC khác trong mạng truy xuất thư mục chia sẽ trên Server và cố tình xóa một thư mục bất kỳ

Bước 4: Xem lại nhật ký

Vào Công cụ Server Manager, chọn Event Viewer như hình,ta thấy

Trên hình trên cho ta thấy các thông tin về User là test, hành động là DELETE thư mục mahoa và một số thông tin quan trọng khác.

Lượt xem (6314)

Bài viết liên quan:

System Logs in Windows Một số công nghệ bảo mật của hệ thống tường lửa Một số giải pháp bảo mật hệ thống mạng Ngành “HOT” – An toàn thông tin (Information Security) Tại sao C++ 35 năm tuổi vẫn còn thống trị thế giới lập trình? Công cụ giám sát hệ thống mạng PRTG Hệ thống chống xâm nhập Xây dựng 1 lớp Mydate mô tả thông tin ngày, tháng, năm [C++]