Ведение журналов в nt

Система ведения журналов в NT базируется на программе NT Event Logger. Данная программа работает с тремя типами журналов: системным, журналом безопасности, журналом приложений. Эти три журнала хранятся в разных файлах, однако просматриваются с помощью одной программы. В процессе ведения журналов NT создает два набор файлов. Набор .log-файлов выполняет роль накопительного буфера и содержит информацию о последних событиях. Эти файлы периодически переносятся в файлы .evt, которые просматриваются с помощью программы просмотра журналов. Таким образом, для хранения журналов в NT используются приведенные ниже файлы:

• system.log

• securj.ty.log

• applicatj-on.log

• sysevent.evt

• secevent,evt

• appevent.evt

Чтобы показать, как работает этот процесс, давайте воспользуемся программой Event Viewer, которая находится в разделе утилит администратора.

Система позволяет удалить .log-файлы, однако не дает удалять файлы .evt.

Важно обратить внимание на то, что программа Event Viewer не очень эффективно об рабатывает большое количество .log-файлов. В таких случаях можно воспользоваться программой dumpel.exe, которая позволяет создать ASCII-копию файла журнала программы Event Viewer. После этого журналы можно обрабатывать с помощью сценариев языка Perl или импортировать в базы данных для дальнейшего анализа.

Взгляд со стороны взломщика

При работе с NT существует гораздо меньше методов заметания следов. Совсем недавно появились программы, которые позволяют редактирование файлов журналов во время работы системы. Одной из таких программ является Clear Event Log 1.0. Эта программа позволяет очищать системный журнал, а также журналы безопасности и приложений. Данная программа может очищать один журнал или все журналы, в зависимости от параметров командной строки. Эта программа позволяет только полную очистку журнала. В результате будет удален системный журнал, журнал приложений, журнал безопасности или все журналы. Эту программу можно получить по адресу: http://duke.net/eventlog. Однако данная программа не позволяет удалять отдельные записи из журналов, она может уничтожать только все записи. Для выборочного удаления записей можно воспользоваться программой WinZapper.

Программа WinZapper позволяет взломщику выборочно удалять записи из журнала безопасности Windows NT 4.0 или Windows 2000. Эту программу можно найти по ; http://ntsecurity.nu/toolbox/winzapper/. Для ее установки нужно получить .zip файл и разархивировать его. Затем нужно запустить winzapper. ехе и выбрать события, которые должны быть удалены. Для подтверждения нужно нажать на кнопке Delete events and Exit. После этого необходимо перезагрузить компьютер, чтобы включилась система ведения

Даже не пользуясь такими программами, взломщик может предпринять некоторые действия для сокрытия следов его присутствия в системе. Во-первых, при наличии администраторского доступа можно просто отключить ведение журнала. Для этого можно воспользоваться утилитой User manager for domains или утилитой командной строки. Взломщик может также вызвать Event Viewer и удалить события. Однако все события, которые были удалены из .log-файла, переправляются в файл аудита. Таким образом, если кто-то наблюдает за системой, он может словить взломщика за руку. Как видите, такие действия очень ненадежны.

Как уже понял читатель, взломщик не может удалить файлы .evt во время работы системы, однако при наличии физического доступа он может кое-что сделать. Первое, что нужно сделать после получения физического доступа, — скопировать файлы событий, поскольку на этом этапе они содержат минимум информации о присутствии взломщика. После этого он должен провести взлом. Затем на компьютере нужно запустить Linux или другую операционную систему. Поскольку на этом этапе запущена другая операционная система, можно удалить файлы журнала и заменить их заранее приготовленной копией, которая содержит минимум информации о взломе. Затем нужно повторно перезагрузить систему, однако это вряд ли затруднит опытного взломщика. Программу создания загрузочного диска Linux можно скачать по адресу: http://home.eunet.no/~pnordahl/ ntpasswd/bootdisk.html.