實驗背景
面對頻繁的 Windows 伺服器攻擊，管理員需快速回應異常、定位受害服務、分析入侵手法、修補弱點。Windows 內建事件檢視器提供關鍵審計資料。
三大日誌類型
| 日誌類型 | 記錄內容 |
|---|
| 應用程式日誌 | 應用程式錯誤、警告、資訊事件 |
| 系統日誌 | 驅動程式、服務、核心元件事件 |
| 安全性日誌 | 登入/登出、物件存取、原則變更、權限使用等 (預設未啟用，需設定審核原則) |
實驗目標
- 掌握 Windows 日誌系統架構
- 依需求設定審核原則 (成功/失敗事件)
- 完成帳號登入/登出稽核操作
- 依應用需求分析日誌事件
啟用安全性日誌審核
- 「控制台」→「管理工具」→「本地安全性原則」。
- 「本地原則」→「稽核原則」。
- 雙擊項目 (如「稽核登入事件」) → 勾選「成功」/「失敗」。
- 常見建議啟用：登入事件、物件存取、原則變更、特權使用、程序追蹤。
事件檢視器操作
- 篩選事件 ID (如 4624 成功登入、4625 登入失敗、4720 建立帳號、4726 刪除帳號)。
- 匯出日誌 (.evtx) 供離線分析或 SIEM 匯入。
- 設定事件訂閱集中收集多台伺服器日誌。
最佳實務
- 設定日誌大小上限與覆寫策略 (依合規保留期限)。
- 定期備份與異地儲存安全性日誌。
- 結合腳本/PowerShell 自動化異常事件警報 (如暴力破解偵測)。