“審核功能就像Windows的晴雨表，據(jù)此我們可以了解計算機的一舉一動，并且可以根據(jù)這些信息來維護計算機系統(tǒng)的安全以及進行故障點排除。在Vista中，“審核功能比以往更加強大，本文將和大家一起探討其在Vista下的應(yīng)用。1、啟用審核的策略所謂的審核就是跟蹤，啟用相應(yīng)的審核功能后系統(tǒng)就會跟蹤并記錄事件的過程，方便管理員查看。利用審核功能，我們不僅可以監(jiān)視用戶在計算機上進行的操作，還可以根據(jù)系統(tǒng)運行狀態(tài)對故障進行排除。但是，開啟了審核就會降低系統(tǒng)的性能，因為系統(tǒng)為此需要耗費一部分資源用于記錄和存儲事件。因此，我們在啟用審核時要根據(jù)需要制訂審核策略。作為管理員需要明確以下幾個方面：需要對哪些內(nèi)容進行審核;是否合理設(shè)置了審核策略;哪些用戶有權(quán)訪問日志;由誰了負責收集和歸檔日志;日志備份的相關(guān)工作如何進行;日志丟失后如何處理;日志保存和審查的周期;審查日志需要用到的工具和措施;在日志中發(fā)現(xiàn)安全問題后如何處理等。只有這樣才能在審核好系統(tǒng)性能之間取得一個平衡。2、配置審核策略審核是對具體事件的過程進行監(jiān)視和記錄，因此會將結(jié)果保存到系統(tǒng)的事件日志中。當然，除非開啟了相應(yīng)的審核功能，否則Windows Vista不會記錄安全日志。開啟審核功能的方法是：依次單擊“開始→“控制面板→“系統(tǒng)和維護→“管理工具，打開“本地安全策略控制臺。然后在“本地策略→“審核策略中找到相應(yīng)的審核策略。在Vista中可啟用的審核策略有9項之多，比如“審核特權(quán)使用，用來記錄用戶在系統(tǒng)操作過程中行使除登錄、注銷和網(wǎng)絡(luò)之外的權(quán)限。“審核帳戶管理，記錄用戶帳戶的創(chuàng)建、刪除、更改等事件。“審核進程跟蹤，跟蹤并記錄進程的后臺運行，例如程序的激活，handle句柄的復(fù)制和對文件管理資源的訪問等。啟用各種審核策略的方法類似，至于啟用什么樣的審核策略，要根據(jù)自己安全需要進行選擇。(圖1)

例如要審核登錄事件，只需雙擊打開該策略，然后勾選審核包括事件的成功和失敗，最后單擊“定即可。這樣Windows Vista就可以開始審核本地所有用戶帳戶的登錄事件，包括用戶成功登錄和登錄失敗，這樣有利用發(fā)現(xiàn)系統(tǒng)是否被非法登錄并被入侵。(圖2)

3、查看審核報告在啟用了審核策略后，系統(tǒng)就會在系統(tǒng)的日志中記錄相關(guān)的事件。如果要查看日志，就需要通過“事件查看器來進行查看，依次單擊“開始→“控制面板→“系統(tǒng)和維護→“管理工具，打開“事件查看器控制臺，在“Windows 日志下分別有“應(yīng)用程序、“安全、“安裝程序、“系統(tǒng)、“轉(zhuǎn)發(fā)事件等多個類別，單擊不同類別可以在中間的窗格中查看到所有該類別的事件記錄。雙擊某個事件記錄，可以打開該記錄的詳細信息窗口，用戶便可以了解該事件的來源和發(fā)生事件、事件ID等。右擊某一類的事件日志，可以對其日志進行一些操作。例如，我們可以選擇“將事件另存為來導(dǎo)出該類別的事件日志;選擇“打開保存的日志，用于導(dǎo)入已存在的事件日志;如果日志記錄太多，為了釋放更多的空間，我們可以選擇“清除日志選項來清除所有記錄;而管理員需要在眾多的記錄中找到自己所需的信息，可以借助“篩選當前日志功能，根據(jù)事件級別、事件ID、關(guān)鍵字、用戶等信息進行篩選。(圖3)

4、監(jiān)控文件訪問文件監(jiān)控在現(xiàn)實環(huán)境中非常實用，比如管理員設(shè)置了一個共享文件夾，但被人改得面目全非，我們就可以通過文件夾監(jiān)控來確定到底是哪些用戶對文件夾進行了操作，然后進一步確定是哪個用戶做的。需要說明的是，文件或者文件夾的監(jiān)控是基于NTFS文件系統(tǒng)，所以分區(qū)格式必須是這種格式。首先在“本地安全策略中啟用“審核對象訪問策略，為了準確定位，我們可以只對“成功事件進行記錄。然后定位到需要監(jiān)控的文件夾，右鍵點擊選擇“屬性，在“安全選項卡中單擊“高級按鈕，接著選擇“審核選項卡單擊“繼續(xù)按鈕，在打開的窗口中單擊“添加按鈕，輸入要添加審核的用戶帳戶或用戶組的名稱。然后在“審核項目面板中勾選需要監(jiān)控的操作，包括創(chuàng)建文件/寫入數(shù)據(jù)、刪除等。如果要監(jiān)控用戶的所有操作可以選擇“完全控制。最后單擊“確定按鈕，即可完成審核的設(shè)置。(圖4)

這樣系統(tǒng)會將指定的事件記錄在系統(tǒng)日志中，我們可以通過“時間查看器的“Windows 日志→“安全中查看到相關(guān)的記錄。當然，此時的事件記錄是非常多的，我們可以通過“篩選器進行篩選。右鍵點擊左側(cè)的“安全選擇“篩選當前日志打開篩選窗口。在“篩選器選項卡下進行篩選設(shè)置，因為我們要查看是拷貝的文件“事件來源選擇就選擇“Security-Auditing，“任務(wù)類別選擇“文件系統(tǒng)，“事件ID輸入“4656所示，然后“確定退出。這時候，在“事件查看器右邊列出的就是每一次讀取數(shù)據(jù)的信息了。雙擊每一項目可查看詳細信息，注意帶有 Object Type: File 的項目才是對文件的訪問。我們雙擊打開就可以看到hacker用戶就fr文件夾進行的拷貝操作。 (圖5)

總結(jié)：本文只以文件監(jiān)控為例演示了Vista“審核功能在系統(tǒng)安全方面的應(yīng)用，其實它的應(yīng)用是非常廣泛的。不過，其使用方法類似，一般是先啟用想要的“審核策略，然后通過“事件查看器進行查看。當然，靈活應(yīng)用“篩選器可以幫助我們快速定位到我們需要查看的項目。