《审计与管理》ppt课件

《《审计与管理》ppt课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、安全审计与管理黄淑华问题的提出70%的安全问题起源于管理几乎所有的安全事件的查处和追踪依赖系统事件记录系统资源的改善需要历史经验审计概念：根据一定的策略记录系统活动，这些记录足以重构、评估、审查环境和活动的次序，这些环境和活动在一项事务的开始到最后结束期间能够围绕或导致一项操作、一个过程或一个事件。作用：对潜在的攻击者起到震摄或警告对于已经发生的系统破坏行为提供有效的追纠证据为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞应用实例1--NT的安全审计在NT中可以对如下事件进行安全审计登录及注销文件及对象访问用户权力的使

2、用、用户及组管理安全策略更改重新启动、关机及系统过程追踪等NT安全审计方法利用NT的用户管理器，可以设置安全审计规则。要启用安全审计功能，只需在规则菜单下选择审计，然后通过查看NT记录的安全性事件类型的事件，可以跟踪所选用户的操作。NT的审计规则如下（既可以审计成功的操作，又可以审计失败的操作）：登录及注销:登录及注销或连接到网络文件及对象访问：访问设置用于文件或目录审计的目录或文件的用户向设置用于打印机审计的打印机发送打印作业用户用户及组管理：创建更改或删除用户帐号或组：重命名、禁止或启用用户号；或者设置和更改密码。安全性规则更改：对用户权利、审计或委托关系规

3、则的改动。重新启动、关机及系统：用户重新启动或关闭计算机；或者发生了一个影响系统安全性或安全日志的事件。进程追踪：这些事件提供了关于事件的详细跟踪信息，如程序活动，某些形式句柄的复制，间接对象的访问和退出进程。对于“文件及对象访问”中的文件和目录的审计还需要在资源管理器中对要审计的目录或文件具体进行设置。文件和目录审计允许您跟踪目录和文件的用法。对于一个具体的文件或目录，可以指定要审计的组、用户或操作。既可以审计成功的操作，又可以审计失败的操作。审计目录可以选择下列事件：读、写、执行、删除、更改权限、获得所有权。WindowsXP的安全审计策略NT日志文件名称：

4、/WINNT/SYSTEM32/CONFIG/.SysEvent.evt.SecEvent.evt.AppEvent.evt打开工具：程序/管理工具/事件查看器系统日志例子日期时间来源分类事件用户计算机01-3-31Am02:05:04Srv无2013N/AImok01-3-31Am01:51:23EventLog无6005N/AImok01-3-31Am01:32:14Browser无8033N/AImok应用日志安全日志其他日志Ftp日志Http日志Snmp日志SQLServer日志应用实例2--UNIX的安全审计Unix的日志文件主要目录:/etc/etc

5、/security/usr/adm:早期版本/var/adm:近期版本/var/logUNIX安全审计主要工具:AuthdDump_lastloglogdaemomloginlog.c.ZnetlogNOCOL/NetConsoleSparsunrogate-syslogchklastlogchkwtmptrimlogUNIX安全审计主要工具L5traceroutstartUplogsupersavebootloggerinftp.plUNIX安全审计Unix的日志文件（主要文件）:acctpacct;记录所有用户使用过的文件lastlog;记录最新登录时间成/

6、败message;记录syslog产生的输出到控制台的信息Sulog;使用su命令的记录Utmp;记录当前登录进系统的用户信息Wtmp;提供一份详细每次用户登录和退出的历史信息文件HOME/.shhistory;用户登录进系统后执行的所有命令审计实例3-防火墙日志审计1.选择日志文件点击日志按钮后程序将从日志文件中读出日志列表用户可以根据日志列表中的起始和终止时间选择要查询的文件界面如下日志审计日志审计2.设置日志审计条件选择要查询的日志文件后会出现如后一页所示界面，用户可以根据查询时间(起始、结束)、访问方向（any、in、out）、过滤动作（any、pass

7、、deny）网络协议（IP、TCP、UDP、ICMP、ESP）、出访IP地址、出访端口、受访IP地址受访端口等限定条件，迅速、准确的找到想察看的日志信息。日志审计日志审计3.查看日志审计内容用户可以根据需要设置好查询条件后点击确定按钮如下一页图所示系统将列出详细的日志记录信息下面列举其中一行进行说明开始时间：3-22

8、10:04结束时间：3-22

9、10:09过滤动作：pass网络协议：TCP出访地址:端口:192.168.100.156:1357受访地址:端口:162.105.100.166:80连接报文数:65访问方向:out经过网卡:外卡以上信息说明在3月2

10、2日上午1004至100