Windows server系统加固，日志审计怎么查看?

目录

一、使用事件查看器

二、配置日志记录

三、使用第三方工具

四、注意事项

---

 

Windows Server系统加固中的日志审计是确保系统安全性的重要环节。查看日志审计信息，可以帮助管理员及时发现潜在的安全威胁、系统错误或性能问题。以下是查看Windows Server系统日志审计信息的详细步骤和方法：

一、使用事件查看器

Windows Server内置了事件查看器（Event Viewer），它是查看系统日志、安全日志和应用程序日志的主要工具。

1. 打开事件查看器：
   • 可以通过在“运行”对话框中输入eventvwr.msc命令来打开事件查看器。
   • 或者，通过“控制面板” -> “管理工具” -> “事件查看器”来访问。
2. 查看日志：
   • 在事件查看器中，可以看到“Windows 日志”文件夹，其中包含了“应用程序”、“安全”和“系统”等子文件夹。
   • 分别点击这些子文件夹，可以查看相应的日志信息。例如，安全日志会记录用户登录、账户管理、策略更改等安全相关的事件。
3. 筛选和搜索日志：
   • 可以使用事件查看器提供的筛选功能，根据日期、时间、事件ID、来源等条件来查找特定的日志条目。
   • 也可以使用搜索功能，在日志中搜索包含特定文本或关键字的条目。

二、配置日志记录

为了确保日志审计的有效性，可能需要对日志记录进行配置，包括设置日志文件的最大大小、存档策略等。

1. 修改日志属性：
   • 在事件查看器中，右键点击要配置的日志（如“安全”或“系统”），选择“属性”。
   • 在“属性”对话框中，可以修改日志文件的最大大小（如20480 KB），并勾选“当达到最大大小时根据需要覆盖事件”或“日志满时将其存档，不覆盖事件”等选项。
2. 启用高级审核策略：
   • 在Windows Server 2012及更高版本中，可以使用本地安全策略或组策略来启用高级审核策略，以便更详细地记录系统事件。
   • 通过打开“本地安全策略”控制台（secpol.msc），在“本地策略” -> “审核策略”下，可以配置各种审核策略，如审核登录事件、审核账户管理事件等。

三、使用第三方工具

除了使用Windows内置的事件查看器外，还可以使用第三方日志管理工具来查看和分析日志信息。这些工具通常提供了更强大的搜索、过滤和报告功能，可以帮助管理员更高效地处理日志数据。

四、注意事项

• 定期查看日志：管理员应定期查看系统日志、安全日志和应用程序日志，以便及时发现潜在的安全威胁或系统问题。
• 保护日志安全：确保日志文件的存储位置安全，防止未经授权的访问或篡改。
• 合规性要求：根据行业标准和法规要求（如PCI-DSS、HIPAA等），可能需要保留特定类型的日志记录一段时间以供审计。

综上所述，通过使用事件查看器、配置日志记录、使用第三方工具以及注意相关事项，可以有效地查看和管理Windows Server系统的日志审计信息。