启用和分析exchangesmtp身份验证记录

《启用和分析exchangesmtp身份验证记录》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、启用和分析ExchangeSMTP身份验证记录在ExchangeServer的使用过程中,我们经常需要分析是否有人攻击或是盗用帐号和是否被中继，特别是在发生SMTP队列存在大量待发不明邮件时,这种情况需要通过分析是系统中病毒,还是被人中继,而在你确认没有开始ExchangeServer的中继,你就需要检查帐号是否被人盗用或是密码泄漏了.把SMTP验证过程记录下来可以帮助你,本文将说明如何启用应用程序日志来记录通过ExchangeServerSMTP尝试验证过程（无论成功或是失败）及如何看懂这些日志：一.开启日志功能1.开启ExchangeSystem

2、Manager(EMS)2.选择“AdministrativeGroups”->“FristAdministrativeGroup”->“Servers”->“ServerName（Exchange的服务器名称）”，右键择择属性。3.单击“DiagnosticsLogging”(诊断日志)选项卡4.单击选择左边“Services”栏的“MSExchangeTransport”5.单击选择右边“Categories”栏的“SMTPProtocol”(SMTP协议)6.在最下面的“LoggingLevel”(日志级别)中选择“Maximum”（最高级）7

3、.单击“确定”窗口，完成设定。如下图：(图一Exchange2003Server的设定界面)(图二Exchange2000Server的设定界面)二。如何看懂这些日志：当有用户正在针对连接SMTP发送邮件，前需要进行身份验证，这个记录将在应用程序日志中看到与以下内容类似的事件（你可以通过“管理工具”－>“事件查看器”来查看）：1.第一种日志情况EventType:InformationEventSource:MSExchangeTransportEventCategory:SMTPProtocolEventID:1708Date:10/15/2004

4、Time:8:13:24AMUser:N/AComputer:SERVERDescription:SMTPAuthenticationwasperformedsuccessfullywithclientremote_computername.TheauthenticationmethodwasLOGINandtheusernamewascompanyusername.在这个日志中，如果中继看起来是来自被攻击的帐户密码，请到ActiveDirectory“用户和计算机”中删除该帐户，或是禁用该帐户或者更改该帐户的密码。2.第二种日志情况：EventT

5、ype:InformationEventSource:MSExchangeTransportEventCategory:SMTPProtocolEventID:1708Date:10/15/2004Time:8:27:52AMUser:N/AComputer:SERVERDescription:SMTPAuthenticationwasperformedsuccessfullywithclientremote_computername.TheauthenticationmethodwasLOGINandtheusernamewasCOMPANYGu

6、est.在这个日志中说明，远程用户使用的是来宾帐户。请使用ActiveDirectory“用户和计算机”来禁用来宾帐户，注意是禁用，不是只更改来宾帐户的密码哦。因为今天帮一个朋友远程检查一台ExchangeServer，需要这方面的操作，所以简单的写了和大分享。请大家指正。。