Überwachen wichtiger Sicherheitsereignisse von Randy Franklin Smith und Klaus Jotz
Tätern auf der Spur
Die Systemüberwachung bietet einen hervorragenden Einblick in den Zustand eines Systems, und sie bildet ein wichtiges Beweismittel für tatsächlich stattgefundene Angriffe. Um diese Aufgabe erfüllen zu können, muss dieses Tool aber richtig konfiguriert, eingesetzt, ausgewertet und verstanden werden, weshalb hier der Umgang mit den Ereignisprotokollen detailliert beschrieben wird.
In den Sicherheitsprotokollen eines Windows-2000-Systems lässt sich eine Fülle von Informationen finden, die die Anmeldeaktivitäten, wichtige Ereignisse auf der Systemebene und beim Dateizugriff sowie die Kontenverwaltung betreffen. Weiß der Administrator wie er an diese Informationen gelangt, besitzt er eine Vielzahl hervorragender Werkzeuge, die ihm beim Aufdecken verdächtiger Aktivitäten und der Überwachung wichtiger administrativer Aufgaben wertvolle Dienste leisten. Das schnelle und sichere Finden der Ereignisprotokolle bezieht sich nicht nur auf die Suche nach speziellen Ereignis-IDs, sondern auch auf die Identifikation der Arbeitsplatzrechner oder Server. Erst damit lassen sich die jeweiligen Ereignis-IDs und Codes innerhalb der Details einer Ereignismeldung korrekt interpretieren. Die Codes, die durch Ereignisse erzeugt werden, können sich auf verschiedene Situationen beziehen, je nachdem, ob das Ereignis auf einem Arbeitsplatzrechner, einem Server oder auf einem Domänen-Controller (DC) auftrat. Außerdem änderte Microsoft einige der Ereignis-IDs im Betriebssystem Windows Server 2003 gegenüber Windows XP und auch gegenüber dem Betriebssystem Windows 2000.
