Windows安全基础-日志、WSUS及注册表

目录

一，系统安全日志

Windows日志简介

Windows日志分类

1.应用程序日志

2.系统日志

3.安全日志

日志策略启用：

设置合理的日志属性，即日志最大大小，事件覆盖阀值等：

日志查看方式：

事件日志分析方式：

日志分析工具

1.Log Parser

2.LogParser Lizard

3.Event Log Explorer

二.WSUS

WSUS原理

三.注册表安全

注册表打开方式：

注册表作用：

保存注册表数据的文件：

注册表的结构：

注册表键值：

键值分类的拓展：

注册表根分支：

注册表备份：

注册表恢复：

CMD注册表备份和恢复

注册表操作：

一，系统安全日志

Windows日志简介

功能：

记录硬件信息

记录权健信息

记录系统问题

监视系统事件

作用：用户可以利用它进行故障排查和攻击分析

Windows日志分类

1.应用程序日志

存储位置：%SystemRoot%\System32\WinevtLogs\Application.evtx

主要用于运维人员排错

作用：

-记录程序错误

-开发人员可自定义监视哪些事件

-处理程序调试

2.系统日志

存储位置：%SystemRoot%\System32\WinevtLogs\System.evtx

主要用于运维人员排错

记录内容：

-驱动程序

-系统组建

-应用崩溃

-数据丢失错误

3.安全日志

存储位置：%SystemRoot%\System32\WinevtLogs\Security.evtx

主要用于系统安全审计

记录内容：

-登录日志

-对象访问日志

-进程追踪日志

-特权使用 账号管理 策略变更

安全日志是调查取证中最常用的日志，默认情况下安全日志是关闭的，管理员可通过组策略开启或者在注册表中设置审核策略

在Windows Server 2008中日志策略默认未启用，只记录简单信息，日志大小为20M

日志策略启用：

设置合理的日志属性，即日志最大大小，事件覆盖阀值等：

日志查看方式：

事件日志分析方式：

常见事件：

以成功登录事件举例，日志还有其他字段详细标识，代表不同意义