首先在“本地安全策略中啟用“審核對象訪問策略，為了準(zhǔn)確定位，我們可以只對“成功事件進行記錄 。然后定位到需要監(jiān)控的文件夾，右鍵點擊選擇“屬性，在“安全選項卡中單擊“高級按鈕，接著選擇“審核選項卡單擊“繼續(xù)按鈕，在打開的窗口中單擊“添加按鈕，輸入要添加審核的用戶帳戶或用戶組的名稱 。然后在“審核項目面板中勾選需要監(jiān)控的操作，包括創(chuàng)建文件/寫入數(shù)據(jù)、刪除等 。如果要監(jiān)控用戶的所有操作可以選擇“完全控制 。最后單擊“確定按鈕，即可完成審核的設(shè)置 。(圖4)
這樣系統(tǒng)會將指定的事件記錄在系統(tǒng)日志中，我們可以通過“時間查看器的“Windows 日志→“安全中查看到相關(guān)的記錄 。當(dāng)然，此時的事件記錄是非常多的，我們可以通過“篩選器進行篩選 。右鍵點擊左側(cè)的“安全選擇“篩選當(dāng)前日志打開篩選窗口 。在“篩選器選項卡下進行篩選設(shè)置，因為我們要查看是拷貝的文件“事件來源選擇就選擇“Security-Auditing，“任務(wù)類別選擇“文件系統(tǒng)，“事件ID輸入“4656所示，然后“確定退出 。這時候，在“事件查看器右邊列出的就是每一次讀取數(shù)據(jù)的信息了 。雙擊每一項目可查看詳細信息，注意帶有 Object Type: File 的項目才是對文件的訪問 。我們雙擊打開就可以看到hacker用戶就fr文件夾進行的拷貝操作 。(圖5)
總結(jié)：本文只以文件監(jiān)控為例演示了Vista“審核功能在系統(tǒng)安全方面的應(yīng)用，其實它的應(yīng)用是非常廣泛的 。不過，其使用方法類似，一般是先啟用想要的“審核策略，然后通過“事件查看器進行查看 。當(dāng)然，靈活應(yīng)用“篩選器可以幫助我們快速定位到我們需要查看的項目 。
推薦閱讀
- 我寫的試用手記，供大家參考：）
- win8系統(tǒng) uac怎么關(guān)閉及不影響Metro應(yīng)用的方法介紹
- 新機用后感暨紀(jì)念老機
- Win8.1當(dāng)前用戶是受限用戶 請用管理員賬號登陸 的解決辦法
- 華為mate40怎么開啟智慧識屏
- 如何輕松修復(fù)損壞U盤
- 如何修改U盤使用權(quán)限？
- 820試用三款藍牙耳機的心得
- 餃子餡的肉用什么肉
- 讓Vista中的文件也可以按“筆畫”排序