事件查看器維護服務器安全的實例
文章中我們介紹了事件查看器的運行方式、記錄的日志類型和顯示的事件類型。在這篇文章中我們將給出事件查看器維護服務器安全的實例，相信對安全維護人員維護系統會有一定的借鑒和參考價值。
1.打開并查看事件查看器中的三類日志
在“運行”中輸入“eventvwr.msc”直接打開事件查看器，在該窗口中單擊“系統”，如圖1所示，單擊窗口右邊的類型進行排序，可以看到類型中有警告、錯誤等多條信息。
2.查看系統錯誤記錄詳細信息
選擇“錯誤”記錄，雙擊即可打開并查看事件的屬性，如圖2所示，可以發現該事件為一個攻擊事件，其事件描述為：
連接自 211.99.226.9 的一個匿名會話嘗試在此計算機上打開一個 LSA 策略句柄。嘗試被以 STATUS_ACCESS_DENIED 拒絕， 以防止將安全敏感的信息泄露給匿名呼叫者。
進行此嘗試的應用程序需要被更正。請與應用程序供應商聯系。 作為暫時的解決辦法，此安全措施可以通過設置： \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymousBlock DWORD 值為 1 來禁用。 此消息將一天最多記錄一次。
說明：該描述信息表明IP地址為“211.99.226.9”的計算機在攻擊此服務器。
3.根據提示修補系統漏洞
根據描述信息，直接打開注冊表編輯器，依次層層展開找到鍵值“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TurnOffAnonymous”新建一個DWORD 的 “TurnOffAnonymousBlock Block DWORD” 鍵，并設置其值為“ 1”，如圖3所示。
說明：如果在事件屬性中未給出解決方案，除了在google中尋找解決方法外，還可以對錯誤信息進行追蹤，以找到合適的解決方法，一般有兩種方式：
(1)微軟知識庫。微軟知識庫的文章是由微軟公司官方資料和微軟MVP撰寫的技術文章組成，主要解決微軟產品的問題及故障。當微軟每一個產品的Bug和容易出錯的應用點被發現后，都將有與其對應的KB文章分析這項錯誤的解決方案。微軟知識庫的地址是:http://support.microsoft.com，在網頁左邊的“搜索(知識庫)”中輸入相關的關鍵字進行查詢，事件發生源和ID等信息。當然，輸入詳細描述中的關鍵詞也是一個好辦法，如果日志中有錯誤編號，輸入這個錯誤編號進行查詢。
(2)通過Eventid.net網站來查詢
要查詢系統錯誤事件的解決方案，其實還有一個更好的地方，那就是Eventid.net網站地址是:http://www.eventid.net。這個網站由眾多微軟MVP(最有價值專家)主持，幾乎包含了全部系統事件的解決方案。登錄網站后，單擊“Search Events(搜索事件)”鏈接，出現事件搜索頁面。根據頁面提示，輸入Event ID(事件ID)和Event Source(事件源)，并單擊“Search”按鈕。Eventid.net的系統會找到所有相關的資源及解決方案。最重要的是，享受這些解決方案是完全免費的。當然，Eventid.net的付費用戶則能享受到更好的服務，比如直接訪問針對某事件的知識庫文章集等。
4.多方復查
既然出現了LSA的匿名枚舉，那么一定會存在登錄信息，如圖4所示，單擊“安全性”查看事件屬性，先針對“審核失敗”進行查看，可以看到IP地址“211.99.226.9”的多次連接失敗的審核信息。需要特別注意的是，事件查看器中記錄的日志必須先在安全策略中進行設置，默認情況下不記錄，只要啟用審核以后才記錄。然后依次查看審核成功的登錄記錄，如果發現該IP地址登錄成功，那么還需要對系統進行徹底的安全檢查，包括修改登錄密碼，查看系統時候被攻擊者留下了后門。在本例中主要事件就是IP地址為211.99.226.9的服務器在進行密碼攻擊掃描，根據事件屬性中提供的策略進行設置后，即可解決該匿名枚舉的安全隱患。
【編輯推薦】
