Очистка журналов безопасности

Отключение аудита

Аудит, несомненно, является одним из наиболее серьезных средств защиты от хакинга компьютерной системы, и отключение средств аудита - одна из первых операций, которую выполняют хакеры при взломе компьютерной системы. Для этого применяются различные утилиты, позволяющие очистить журнал регист­рации и/или отключить аудит системы перед началом «работы».

Для отключения аудита хакеры могут отключить политику аудита штатными средствами настройки системы защиты Windows NT/2000/XP, однако лучше при­бегнуть к более мощному средству, предоставляемому утилитой auditpol.exe из комплекта инструментов W2RK. С ее помощью можно отключать (и включать) аудит как локального, так и удаленного компьютера. Для этого следует из ко­мандной строки ввести такую команду:

C:\Auditpol>auditpol \\ComputerName /disable

Running...

Audit information changed successfully on \\ComputerName...

New audit policy on \\ComputerName...

(0) Audit Disabled

System = No

,1 Logon = No

Object Access = No

Privilege Use = No

Process Tracking = Success and Failure

Policy Change = No

Account Management = No

Directory Service Access = No

Account Logon = No

Здесь //ComputerName - имя удаленного компьютера, а ключ /disable задает отключение аудита на этом компьютере. Утилита auditpol.exe - весьма эффек­тивное средство, созданное для управления сетевыми ресурсами, но также, как видим, весьма удобный инструмент хакинга (ввод команды auditpol /? отобра­жает справочную информацию о применении утилиты).

Для очистки журнала безопасности с помощью специального аплета на панели управления Windows 2000/XP следует выполнить следующие действия:

>• Щелкните на кнопке Пуск (Start) и в появившемся главном меню выберите команду Настройка.» Панель управления (Settings * Control Panel).

>• В отобразившейся Панели управления (Control Panel) откройте папку Администрирование (Administrative Tools).

у Дважды щелкните на аплете Просмотр событий (Event Viewer). На экране появится окно Event Viewer (Просмотр событий) (Рис. 4).

Рис. 4. Очистка журнала событий безопасности средствами Windows

>• Щелкните правой кнопкой мыши на пункте Безопасность (Security Log); появится контекстное меню.

> Выберите команду Clear all Events (Стереть все события). Отобразится диа­лог, представленный на Рис. 5, с предложением сохранить журнальные события в файле.

Рис. 5. Запрос о необходимости сохранения журнала безопасности

> Щелкните на кнопке Нет (No), если вам больше не требуются зафиксирован­ные в журнале события. Журнал будет очищен.

При выполнении очистки журнала безопасности обратите внимание на тот факт, что после выполнения этой операции в журнал сразу же записывается новое собы­тие аудита - только что выполненная операция очистки! Таким образом, хакер все же оставит свой след - пустой журнал с зафиксированным событием очистки журнала. Этот недостаток можно исправить, применив для очистки журнала ха-керскую утилиту elsave.exe (http://www.ibt.ku.dk/jesper/ELSave/default.htm). Эта утилита предназначена, в первую очередь, для очистки журналов Windows NT 4, но ее последняя версия работает и с системой Windows 2000. Вот как она запус­кается из командной строки.

C:\els004>elsave -s \\CotnputerName -С

Здесь ключ -s задает режим удаленной очистки, а ключ -С задает операцию очистки журнала. Кроме очистки, утилита позволяет копировать события жур­нала в файл. Ввод команды elsave /? приводит к отображению справки, и вы можете сами испытать эффективность всех предлагаемых возможностей.

Элементарная проверка показывает, что отмеченный выше недостаток остался -применение утилиты elsave.exe регистрируется в журнале безопасности как событие очистки журнала. Однако теперь мы можем сделать следующий трюк -поместить задание на очистку журнала утилитой elsave.exe в планировщик за­даний Windows (запустив его или из меню Пуск (Start), либо командой AT из ко­мандной строки MS-DOS). Планировщик выполнит операцию очистки под учет­ной записью System, что сильно затруднит поиски хакера.

Дата добавления: 2014-01-07