無論在Internet還是Intranet環(huán)境下，網(wǎng)絡(luò)會時時刻刻遭遇各式各樣的安全威脅;為了能夠“知己知彼，百戰(zhàn)不殆”，我們必須想辦法充分對系統(tǒng)自身的網(wǎng)絡(luò)安全狀態(tài)進(jìn)行明察秋毫，才能有的放矢地化解安全威脅。監(jiān)控網(wǎng)絡(luò)安全狀態(tài)的變化，有多種方法可供選用，不過很多方法都需要借助專業(yè)工具的幫忙才能完成;其實(shí)，重要主機(jī)系統(tǒng)自身就具有這方面的本領(lǐng)，我們只要自力更生、對其進(jìn)行深入挖掘，完全也可以對系統(tǒng)的網(wǎng)絡(luò)安全變化進(jìn)行明察秋毫。
1、監(jiān)控網(wǎng)絡(luò)服務(wù)變化
一旦中的重要主機(jī)被網(wǎng)絡(luò)攻擊，那么對應(yīng)系統(tǒng)中的網(wǎng)絡(luò)服務(wù)狀態(tài)可能會發(fā)生明顯的變化。為此，我們可以通過及時監(jiān)控重要主機(jī)系統(tǒng)中的網(wǎng)絡(luò)服務(wù)狀態(tài)變化情況，來判斷目標(biāo)主機(jī)是否遭遇了網(wǎng)絡(luò)病毒或程序的襲擊。那如何才能知道目標(biāo)主機(jī)系統(tǒng)中新啟動了哪些網(wǎng)絡(luò)服務(wù)，又關(guān)閉了哪些網(wǎng)絡(luò)服務(wù)呢?其實(shí)很簡單，我們可以利用Windows系統(tǒng)自帶的net start命令，來快速監(jiān)測出網(wǎng)絡(luò)服務(wù)的狀態(tài)變化情況，下面就是具體的監(jiān)測步驟：
首先在重要主機(jī)運(yùn)行狀態(tài)正常的情況下，依次單擊“開始”/“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行文本框中，輸入“cmd”字符串命令，單擊回車鍵后，將系統(tǒng)狀態(tài)切換到DOS命令行狀態(tài);
其次在DOS命令行狀態(tài)下輸入字符串命令“net start > e:\normal.txt”，單擊回車鍵后，目標(biāo)主機(jī)系統(tǒng)就會自動將正常狀態(tài)下的網(wǎng)絡(luò)服務(wù)啟用狀態(tài)信息輸出保存到“e:\normal.txt”文件中了，我們可以將該文件作為目標(biāo)主機(jī)系統(tǒng)網(wǎng)絡(luò)服務(wù)正常狀態(tài)的參照;
日后，當(dāng)我們感覺目標(biāo)主機(jī)系統(tǒng)突然運(yùn)行緩慢或出現(xiàn)其他明顯異?，F(xiàn)象時，可以再次執(zhí)行字符串命令“net start > e:\ignor.txt”，將目標(biāo)主機(jī)系統(tǒng)狀態(tài)不正常時的網(wǎng)絡(luò)服務(wù)狀態(tài)信息輸出保存到“e:\ignor.txt”文件中;
之后，在DOS命令行狀態(tài)下執(zhí)行“fc e:\normal.txt e:\ignor.txt”字符串命令，來比較目標(biāo)主機(jī)系統(tǒng)發(fā)生明顯異常后的網(wǎng)絡(luò)服務(wù)狀態(tài)信息，看看究竟有哪些新的網(wǎng)絡(luò)服務(wù)被啟動成功了，這些新啟動的網(wǎng)絡(luò)服務(wù)很可能就是網(wǎng)絡(luò)病毒的進(jìn)程服務(wù)或木馬服務(wù)，此時我們應(yīng)該采用手工方法強(qiáng)行將新的網(wǎng)絡(luò)服務(wù)關(guān)閉掉，再借助專業(yè)的來對重要主機(jī)系統(tǒng)進(jìn)行病毒查殺操作，直到恢復(fù)重要主機(jī)系統(tǒng)的工作狀態(tài)為止。
2、監(jiān)控共享狀態(tài)變化
一些木馬或惡意攻擊程序?yàn)榱诉_(dá)到攻擊目的，往往會偷偷在重要主機(jī)系統(tǒng)中創(chuàng)建隱藏共享文件夾，并通過該隱藏共享文件夾來偷窺對應(yīng)系統(tǒng)中的隱私信息。為了避免重要主機(jī)系統(tǒng)中的隱私信息被他人偷窺，我們必須想辦法對本地系統(tǒng)中的共享文件夾狀態(tài)變化情況進(jìn)行監(jiān)控，一旦發(fā)現(xiàn)有陌生的共享文件夾被偷偷創(chuàng)建時，必須及時將它刪除;那么如何對重要主機(jī)系統(tǒng)中的共享文件夾狀態(tài)變化情況進(jìn)行監(jiān)控呢?我們可以利用Windows系統(tǒng)內(nèi)置的net share命令來實(shí)現(xiàn)這一監(jiān)控目的，下面就是該方法的具體實(shí)現(xiàn)步驟：
首先打開目標(biāo)重要主機(jī)系統(tǒng)的“開始”菜單，點(diǎn)選其中的“運(yùn)行”命令，在彈出的系統(tǒng)運(yùn)行框中執(zhí)行“cmd”命令，將系統(tǒng)切換到DOS命令行工作狀態(tài);
其次在該工作狀態(tài)的命令行提示符下，執(zhí)行“net share > e:\old.txt”字符串命令，Windows系統(tǒng)會將當(dāng)前狀態(tài)下的所有共享文件夾狀態(tài)信息自動輸出到“e:\old.txt”文件中，此時進(jìn)入對應(yīng)系統(tǒng)的“我的電腦”窗口中，打開“e:\old.txt”文件時，我們就能清楚地看到目標(biāo)主機(jī)系統(tǒng)中的所有共享狀態(tài)信息了。
日后定期在目標(biāo)主機(jī)系統(tǒng)中執(zhí)行一次“net share > e:\new.txt”字符串命令，將最新的共享文件夾狀態(tài)信息輸出保存到“e:\new.txt”文件中;為了判斷出共享狀態(tài)信息是否發(fā)生變化，我們繼續(xù)執(zhí)行“fc e:\old.txt e:\new.txt”字符串命令，該命令執(zhí)行的結(jié)果會準(zhǔn)確告訴我們目標(biāo)主機(jī)系統(tǒng)中的共享文件夾究竟發(fā)生了哪些變化，例如新創(chuàng)建的共享文件夾有哪些，被取消的共享文件夾有哪些等等。
當(dāng)然，如果想對共享狀態(tài)的變化情況進(jìn)行自動監(jiān)控時，我們可以打開記事本程序，在文本編輯窗口中輸入下面的命令行代碼：
@echo off
net share > e:\new.txt
fc e:\old.txt e:\new.txt
3、監(jiān)控登錄狀態(tài)變化
一些不自覺的用戶，往往會趁主人離開計算機(jī)的那一段間隙，偷偷登錄對應(yīng)系統(tǒng)，來偷窺重要的隱私信息。那么我們能否找到一種合適的辦法，來對用戶的偷偷登錄行為進(jìn)行自動監(jiān)控，并將監(jiān)控的結(jié)果自動反饋給計算機(jī)的主人呢?答案是肯定的!我們可以在Windows Vista以上版本系統(tǒng)中，啟用登錄監(jiān)控功能來對用戶的偷偷登錄行為進(jìn)行自動監(jiān)控，下面就是具體的監(jiān)控操作步驟：
首先依次單擊目標(biāo)主機(jī)系統(tǒng)桌面上的“開始”、“運(yùn)行”選項(xiàng)，打開對應(yīng)系統(tǒng)的運(yùn)行文本框，在其中執(zhí)行“gpedit.msc”字符串命令，彈出編輯界面;
其次將鼠標(biāo)定位于該編輯界面左側(cè)列表中的“計算機(jī)配置”分支上，同時從目標(biāo)分支下面依次展開“管理模板”、“Windows組件”、 “Windows登錄選項(xiàng)”節(jié)點(diǎn)選項(xiàng)，再用鼠標(biāo)雙擊目標(biāo)節(jié)點(diǎn)下面的“在用戶登錄期間顯示有關(guān)以前登錄的信息”組策略選項(xiàng)，打開目標(biāo)組策略屬性窗口;
檢查該屬性窗口中的“已啟動”選項(xiàng)是否已經(jīng)被選中，一旦看到它還沒有處于選中狀態(tài)時，我們應(yīng)該及時選中它，同時單擊“確定”按鈕執(zhí)行設(shè)置保存操作，這么一來目標(biāo)主機(jī)系統(tǒng)日后就能支持登錄監(jiān)控功能了。
日后，要是有非法用戶趁計算機(jī)主人暫時離開現(xiàn)場，偷偷利用主人的賬號登錄進(jìn)入本地系統(tǒng)時，Windows系統(tǒng)的登錄監(jiān)控功能就能把非法用戶偷偷登錄行為記憶下來了，下次計算機(jī)主人重新登錄系統(tǒng)時，就能看到具體的監(jiān)控結(jié)果了，包括偷偷登錄操作使用的用戶賬號名稱、登錄時間等等。
4、監(jiān)控賬號狀態(tài)變化
為了達(dá)到惡意攻擊或監(jiān)視目的，非法攻擊者常常會偷偷地在系統(tǒng)后臺創(chuàng)建惡意賬號，日后他們就能利用惡意賬號對重要主機(jī)實(shí)施攻擊行為了。為了保護(hù)重要主機(jī)系統(tǒng)的安全，我們必須想辦法在第一時間發(fā)現(xiàn)惡意賬號的創(chuàng)建行為，并及時刪除惡意賬號;要做到這一點(diǎn)，其實(shí)很簡單，我們可以巧妙利用Windows系統(tǒng)的審核功能，來對惡意賬號的創(chuàng)建操作進(jìn)行自動報警，下面就是具體的操作步驟：
首先對目標(biāo)主機(jī)系統(tǒng)的賬號創(chuàng)建事件進(jìn)行審核。在缺省狀態(tài)下，Windows系統(tǒng)不會自動對惡意賬號的創(chuàng)建行為進(jìn)行監(jiān)控，只有對該操作啟用審核功能后，系統(tǒng)日志才會對賬號創(chuàng)建事件進(jìn)行跟蹤、記錄;在審核惡意賬號的創(chuàng)建操作時，我們可以先打開目標(biāo)主機(jī)系統(tǒng)的運(yùn)行文本框，在其中執(zhí)行 “secpol.msc”字符串命令，彈出本地安全策略控制臺界面;
其次將鼠標(biāo)定位于“安全設(shè)置”分支上，并從目標(biāo)分支下面依次展開“本地策略”、“審核策略”節(jié)點(diǎn)選項(xiàng)，再用鼠標(biāo)雙擊目標(biāo)節(jié)點(diǎn)下面的“審核賬戶管理”選項(xiàng)，進(jìn)入如圖3所示的目標(biāo)組策略屬性窗口，將該窗口中的“成功”、“失敗”選項(xiàng)選中，同時單擊“確定”按鈕執(zhí)行設(shè)置保存操作;
接著依次點(diǎn)選“開始”/“設(shè)置”/“控制面板”命令，單擊系統(tǒng)控制面板窗口中的“用戶賬戶”圖標(biāo)，在其后彈出的用戶賬戶管理窗口中，手工創(chuàng)建一個用戶賬號，創(chuàng)建完畢后，我們再打開目標(biāo)主機(jī)系統(tǒng)的計算機(jī)管理窗口，并從中逐一展開“系統(tǒng)工具”、“事件查看器”、“Windows日志”、“系統(tǒng)”節(jié)點(diǎn)選項(xiàng)，在目標(biāo)節(jié)點(diǎn)選項(xiàng)下面我們就可以看到剛才的用戶賬號創(chuàng)建操作記錄了;
下面再用鼠標(biāo)右鍵單擊該記錄選項(xiàng)，從彈出的快捷菜單中執(zhí)行“附加任務(wù)到事件”命令，打開附加任務(wù)向?qū)Э?，按照向?qū)聊坏奶崾?，設(shè)置好附加任務(wù)的名稱，選擇好合適的任務(wù)內(nèi)容，這里我們選中“顯示消息”作為具體的報警方式，之后設(shè)置好具體的報警內(nèi)容，例如可以輸入“有人剛剛創(chuàng)建了惡意賬號，請及時查看”，最后單擊“完成”按鈕結(jié)束附加任務(wù)的設(shè)置操作，這么一來日后目標(biāo)主機(jī)系統(tǒng)中一旦有人偷偷創(chuàng)建惡意賬號時，系統(tǒng)屏幕上會自動彈出類似“有人剛剛創(chuàng)建了惡意賬號，請及時查看”這樣的報警信息，看到這樣的報警內(nèi)容，我們就能迅速采取措施進(jìn)行安全防范了。