巧用Windows2008審核 自動監(jiān)控網(wǎng)絡(luò)共享變化
原創(chuàng)為了方便局域網(wǎng)用戶訪問，不少單位往往會將重要的數(shù)據(jù)信息上傳到類似Windows Server 2008系統(tǒng)的服務(wù)器中，并將這些數(shù)據(jù)信息設(shè)置成共享狀態(tài)發(fā)布出去，任何上網(wǎng)用戶都能憑借共享訪問賬戶自由訪問重要數(shù)據(jù)信息。然而，也有一些不安好心的訪問用戶，在共享訪問重要數(shù)據(jù)信息的過程中，隨意更改、刪除單位發(fā)布的重要信息，容易造成其他人員無法獲取準(zhǔn)確的數(shù)據(jù)內(nèi)容；那么我們能否找到一種合適的辦法，來自動監(jiān)控Windows Server 2008服務(wù)器系統(tǒng)中的共享內(nèi)容變化情況，一旦發(fā)現(xiàn)共享內(nèi)容被更改、刪除時，我們就能自動收到報警提示呢？其實很簡單，我們只要用好Windows Server 2008服務(wù)器系統(tǒng)中的審核功能，就能對其中的共享內(nèi)容變化情況進行輕松自動監(jiān)控了！
巧用Windows2008審核之自動監(jiān)控思路
審核功能雖然不是Windows Server 2008服務(wù)器系統(tǒng)特有的功能，但是它配合該系統(tǒng)新推出的附加任務(wù)到事件功能，可以對賬戶狀態(tài)的變化、登錄狀態(tài)的變化、文件夾的變化等若干事件進行監(jiān)控，這自然也包括對共享文件夾中的內(nèi)容變化進行監(jiān)控了。
為了實現(xiàn)自動監(jiān)控的目的，我們可以先用手工方法啟用針對共享文件夾的審核對象訪問策略，日后Windows Server 2008服務(wù)器系統(tǒng)中的目標(biāo)共享資源一旦被他人訪問或修改時，對應(yīng)系統(tǒng)的日志功能就會將該操作記錄記憶保存下來，此時我們可以針對這種類型的事件，附加一個自動報警任務(wù)，這樣一來只要目標(biāo)共享文件夾的狀態(tài)發(fā)生變化，那么附加到對應(yīng)操作記錄上的自動報警任務(wù)就可以自動運行，我們收到報警提示后，就能立即監(jiān)控到Windows Server 2008服務(wù)器系統(tǒng)的共享狀態(tài)變化了。
巧用Windows2008審核之啟用審核功能
大家知道，Windows Server 2008服務(wù)器系統(tǒng)在默認狀態(tài)下不會對共享文件夾的訪問操作進行跟蹤記錄，那么對應(yīng)系統(tǒng)的日志功能自然也不會記錄共享文件夾的操作痕跡了；為了能夠觀察到共享文件夾的狀態(tài)變化，我們必須先要在Windows Server 2008服務(wù)器系統(tǒng)中啟用針對共享文件夾的審核對象訪問功能，只要該功能被成功啟用了，那么對應(yīng)系統(tǒng)的日志功能就會把任何訪問共享文件夾的記錄保存到系統(tǒng)日志文件中了，日后我們才能針對某類特定的事件附加一個自動報警的任務(wù)計劃；下面是啟用Windows Server 2008服務(wù)器系統(tǒng)審核對象訪問功能的具體操作步驟：
首先依次單擊Windows Server 2008服務(wù)器系統(tǒng)桌面上的“開始”、“設(shè)置”、“控制面板”選項，打開對應(yīng)系統(tǒng)的控制面板窗口，用鼠標(biāo)雙擊其中的“管理工具”圖標(biāo)，進入管理工具列表界面；
其次用鼠標(biāo)雙擊該界面中的“本地安全策略”圖標(biāo)，彈出對應(yīng)系統(tǒng)的本地安全策略編輯界面，將鼠標(biāo)定位于該界面左側(cè)位置處的“本地策略”分支項目上，再從目標(biāo)分支下面依次選中“審核策略”、“審核對象訪問”選項，之后用鼠標(biāo)右鍵單擊該選項，并執(zhí)行快捷菜單中的“屬性”命令，彈出如圖1所示的審核對象訪問屬性設(shè)置對話框；
將該對話框中的“成功”復(fù)選項選中，同時單擊“確定”按鈕，這樣一來針對共享文件夾訪問操作的審核功能就被啟用成功了，日后我們通過網(wǎng)絡(luò)或在本地修改、刪除Windows Server 2008服務(wù)器系統(tǒng)中的共享內(nèi)容時，對應(yīng)系統(tǒng)的事件查看器程序就會將這些操作記錄自動記憶保存下來。
巧用Windows2008審核之記錄共享操作
為了讓共享狀態(tài)變化的監(jiān)控結(jié)果自動通知給用戶，我們需要想辦法創(chuàng)建一個自動報警任務(wù)，以便在Windows Server 2008服務(wù)器系統(tǒng)的共享狀態(tài)發(fā)生變化的那一刻，該報警任務(wù)能夠自動觸發(fā)運行，實現(xiàn)通知、提示用戶的目的。要做到這一點，我們必須先在本地服務(wù)器系統(tǒng)中生成一個共享訪問記錄，只有這樣自動報警任務(wù)才能附加到這類操作事件上，下面是手工生成共享訪問記錄事件的操作步驟：
首先從局域網(wǎng)中任意選擇一臺普通工作站系統(tǒng)，通過網(wǎng)絡(luò)遠程登錄進Windows Server 2008服務(wù)器系統(tǒng)，并嘗試修改目標(biāo)共享文件夾中的內(nèi)容，修改完畢后，對應(yīng)系統(tǒng)的日志功能就會將該操作記錄記憶保存下來；
其次用鼠標(biāo)右鍵單擊Windows Server 2008服務(wù)器系統(tǒng)桌面上的“計算機”圖標(biāo)，從彈出的快捷菜單中執(zhí)行“管理”命令，打開對應(yīng)系統(tǒng)的計算機管理窗口，從該管理窗口的左側(cè)列表中依次展開“系統(tǒng)工具”、“事件查看器”、“Windows日志”、“系統(tǒng)”分支選項（如圖2所示），在對應(yīng)“系統(tǒng)”分支選項的右側(cè)列表區(qū)域中，我們就能找到剛才生成的共享訪問操作記錄了。
巧用Windows2008審核之實現(xiàn)監(jiān)控報警
盡管Windows Server 2008服務(wù)器系統(tǒng)的日志功能可以自動記憶共享訪問操作的痕跡，可是它無法將其監(jiān)控、記錄的結(jié)果自動通知給服務(wù)器系統(tǒng)的“主人”，為了實現(xiàn)自動監(jiān)控報警的目的，我們可以按照下面的操作將自動報警任務(wù)附加到共享訪問操作記錄上，日后只要相同類型的事件再次生成時，那么該自動報警任務(wù)就能自動執(zhí)行了，到時服務(wù)器系統(tǒng)的“主人”就能收到相應(yīng)的報警提示了：
首先按照前面的操作打開Windows Server 2008服務(wù)器系統(tǒng)的計算機管理窗口，從該管理窗口的左側(cè)列表中依次展開“系統(tǒng)工具”、“事件查看器”、“Windows日志”、“系統(tǒng)”分支選項，在對應(yīng)“系統(tǒng)”分支選項的右側(cè)列表區(qū)域中，選中剛才生成的共享訪問操作記錄選項；
其次用鼠標(biāo)右鍵單擊該記錄選項，從彈出的快捷菜單中執(zhí)行“將任務(wù)附加到此事件”命令，打開自動報警任務(wù)的創(chuàng)建向?qū)υ捒颍勒障驅(qū)聊坏奶崾鞠葘⒃撊蝿?wù)名稱取為“自動監(jiān)控共享狀態(tài)”，之后單擊“下一步”按鈕，向?qū)聊粫棾鲆恍┨崾拘畔ⅲ诖_認這些內(nèi)容正確無誤后，再單擊“下一步”按鈕，彈出如圖3所示的設(shè)置對話框；
在該對話框中，我們看到Windows Server 2008服務(wù)器系統(tǒng)為用戶提供了三種報警提示方式：啟動應(yīng)用程序、發(fā)送電子郵件、顯示報警信息等，在這里我們可以選用更為顯眼的報警提示方式——“顯示消息”選項，之后將報警消息的標(biāo)題設(shè)置為“監(jiān)控共享狀態(tài)”，將報警提示的內(nèi)容設(shè)置為“注意！服務(wù)器中共享內(nèi)容的狀態(tài)已經(jīng)發(fā)生變化！”，最后點擊“完成”按鈕結(jié)束自動報警任務(wù)的創(chuàng)建操作。
到了這里，Windows Server 2008服務(wù)器系統(tǒng)就可以對其中的共享文件夾狀態(tài)變化進行自動監(jiān)控、報警了。日后，只要有惡意用戶通過局域網(wǎng)網(wǎng)絡(luò)偷偷更改、刪除本地服務(wù)器系統(tǒng)中時，Windows Server 2008系統(tǒng)屏幕上就會自動出現(xiàn)報警提示，告訴我們“注意！服務(wù)器中共享內(nèi)容的狀態(tài)已經(jīng)發(fā)生變化！”，見到這樣的報警提示，我們就能在第一時間知道本地共享資源可能已經(jīng)被他人修改或訪問了，到時我們就能采取針對性措施進行安全防范了。
【編輯推薦】
