Мониторинг журналов событий с помощью сценариев WMI А. В. Попов (wmi_popov@mail. ru) Мордовский госуниверситет, Саранск Е. А. Шикин (shikinea@mail. ru) Мордовское отделение Сбербанка, Саранск Конференция «Технологии Microsoft в теории и практике программирования» , МГУ им. М. В. Ломоносова, Москва, 4 -5 марта 2004 г.
План доклада Журналы событий Windows и информационная безопасность Стандартные средства работы с журналами событий Технология Windows Management Instrumentation (WMI) как инструмент обработки и анализа событий WMI-утилита Event. Register. hta для мониторинга журналов событий Источники информации по WMI
Журналы событий Windows и информационная безопасность Старт операционной системы Вход в систему пользователя Запуск процессов Использование привилегий Изменение политик безопасности
Обработка журналов событий Анализ имеющихся записей о событиях Автоматическая обработка возникающих событий определенного типа
Стандартные средства работы с журналами событий (Windows XP) Оснастка MMC "Просмотр событий"
Стандартные средства работы с журналами событий (Windows XP) VBScript-утилита Event. Query. vbs (используется WMI)
Стандартные средства работы с журналами событий (Windows XP) Исполняемая утилита Event. Triggers. exe (используется WMI)
Общая схема WMI Системный реестр (Registry) Журнал событий (Event Log) Registry API Event Log API Провайдер реестра (Registry provider) Провайдер журнала событий (Event Log provider) WMI API . . . Подсистема Win 32 УПРАВЛЯЕМЫЕ РЕСУРСЫ Win 32 API . . . Провайдер подсистемы Win 32 (Win 32 provider) ЯДРО WMI API Репозиторий CIM (CIM repository) CIMOM (служба WMI) Библиотека поддержки сценариев WMI (WMI Scripting Library) WMI COM API WMI ODBC Adapter Сценарии WMI Приложения Win 32 Приложения БД УПРАВЛЯЮЩИЕ ПРОГРАММЫ
Обработка событий с помощью WMI Новая запись о событии Журнал событий (Event Log) Фильтр событий (WQL-запрос) Запуск приложения Запись в текстовый файл Отправка сообщения по SMTP
Утилита Event. Register. hta
Источники информации по WMI Книга "Windows 2000 Scripting Guide", примеры сценариев WMI http: //www. microsoft. com/technet/scriptcenter Сайт "Технологии администрирования Windows" (информация по WMI, WMIC, ADSI, WSH) http: //admtech. mrsu. ru А. В. Попов, Е. А. Шикин. Администрирование Windows с помощью WMI и WMIC. - СПб. : БХВПетербург, 2004. - 752 с.
Скачать презентацию Мониторинг журналов событий с помощью сценариев WMI А
6c5b749082c0a9c6663747df2f1371ea.ppt