萬盛學電腦網

 萬盛學電腦網 >> 安全資訊防護 >> 修改系統日志路徑 保障記錄安全

修改系統日志路徑 保障記錄安全

  在如今的網絡中,上網的首選工作就是要防黑。結果不外乎兩種,一種是黑客在我們嚴密的立體式防御中損兵折將;另一種就是黑客進入了我們的系統,那它究竟給我們修改了什麼?做了哪些破壞呢?有經驗的網管員通過日志文件就可以知道蛛絲馬跡,搜集到與安全有關的網絡入侵證據(比如相關的IP地址、登錄帳號等信息)。

  同樣,有頭腦的黑客就會在撤離時用工具或手工方式清除所有的日志內容(俗稱擦腳印或擦PP等),或者干脆偽造假日志等。因此,對於日志文件的保護一定要慎重,比較可行的簡易辦法是為日志文件搬家,更改其默認的路徑到別人想不到的地方。

  一、查看默認日志路徑

  依次打開“控制面板\管理工具\計算機管理”,選中左側窗口中的“事件查看器”,下面則有“應用程序”、“安全性”、“系統”三項。IT八哥網(http://www.it8g.com)以第一個“應用程序”為例,在上面點擊鼠標右鍵,選擇“屬性”,在“日志名稱” 處顯示Windows2000的默認日志存放路徑為:“c:\winnt\system32\config\appevent.evt”字樣。其他兩項也是如此。

  接下來,用戶到D盤建立一系列深目錄以存放新日志文件,如D:\01\02\03\04\05\06\07,起名的原則就是要“越不起眼,越好”。

  二、更改系統注冊表

  點擊“開始\運行”,輸入“regedit”並回車,即打開注冊表編輯器。找到HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\Eventlog,三個日志都在其下。還是以應用程序為例,選中“application”後,右側窗口中有個名為“file”的項,它的原始數據是“%systemroot%\system32\config\appevent.evt”,即系統默認的路徑與文件名。雙擊它,在彈出的窗口中修改其值為“d:\01\02\03\04\05\06\07\appevent.evt”,依次類推,再分別把Security和System項下的“file”鍵更改為“d:\01\02\03\04\05\06\07\secevent.evt”和“d:\01\02\03\04\05\06\07\sysevent.evt”,最後按F5刷新一下,關閉注冊表。

  來到c:\wint\system32\config文件夾下把appenvet.evt、secevent.evt和sysevent.evt這三個日志文件復制並粘貼到新路徑d:\01\02\03\04\05\06\07中。重新啟動機器,再來到“事件查看器”窗口插一下日志文件的屬性,發現路徑名已經更改了。

  至此,再結合著系統安裝的防火牆和殺毒軟件、木馬檢測軟件進行防護。雖然日志文件搬家的方式不能起到徹底保護的目的,但足可以令實施偷窺的黑客撓頭了,感興趣的朋友試試吧!


 


copyright © 萬盛學電腦網 all rights reserved