БИБЛИЯ ХАКЕРА

Просмотр событий

Ветвь «Event Viewer» (Просмотр событий) раздела «System Tools» (Системные инструменты), являются аналогом утилиты «Event Viewer» (Просмотр событий). Данная утилита находилась в меню «Administrative Tools» (Администрирование) в предыдущих версиях Windows NT. Вы мо­жете запустить отдельный слепок этой утилиты при помощи ярлыка ме­ню «Start» (Пуск) О «Administrative Tools» (Администрирование). Данный слепок является инструментом администратора, который позволяет от­слеживать возникающие в системе события.

Событием в операционной системе Windows 2000 является любая ситуация в системе или в приложении, о которой администратор или пользователь должен получить уведомление. События о критических ошибках или происшествиях автоматически выводятся на экран.

Многие другие события, не требующие непосредственного вмеша­тельства администратора, регистрируются операционной системой

Windows 2000 в журнале событий без прерывания текущей работы поль­зователя.

Служба журнала событий запускается автоматически, после запус­ка операционной системы Windows 2000. Для того чтобы отключить эту службу, следует использовать ветвь «Services» (Службы).

Ветвь «Event Viewer» (Просмотр событий) можно использовать для просмотра трех журналов событий: «System» (Система), «Security» (Безо­пасность), «Application» (Приложения). Каждый из этих журналов может быть сохранен в файле. В системный журнал «System» (Система) помеща­ются записи о событиях, регистрируемых системой Windows 2000. Напри­мер, в системный журнал помещаются записи о сбоях при загрузке драй­вера или другого системного компонента при запуске системы.

Двойной щелчок на выбранном событии открывает диалоговое ок­но «Event on Local Computer Properties» (Свойства: События на Локальном Компьютере), в котором вы можете просмотреть интересующее вас собы­тие.

Поле со списком «Source» (Источник) указывает на компонент си­стемы, в котором зарегистрировано событие и может содержать имена приложений и компонентов системы, таких как драйверы.

В поле «Category» (Категория) указывается категория события, оп­ределяемые источником. В поле «Computer» (Компьютер) указано имя компьютера, на котором возникло зарегистрированное событие. В поле «Event ID» (Код события) указан номер, определяющий конкретное собы­тие. Значения кодов событий помогают сотрудникам службы поддержки программных продуктов отслеживать возникающие в системе события.

В журнал безопасности «Security» (Безопасность) помещаются за­писи о событиях системы безопасности. Это позволяет отслеживать изме­нения в системе безопасности и обнаруживать попытки нарушения защи­ты. После определения параметров аудита, можно регистрировать все попытки входа в систему. Просматривать журнал безопасности разреша­ется только пользователям, являющимся администраторами данного компьютера.

В журнале приложений «Application» (Приложения) регистрируют­ся записи о событиях, возникающих в приложениях. Например, програм­ма управления базой данных Microsoft Access может записывать в журна­ле приложений ошибки, возникающие при обращении к файлам.

Администратор должен регулярно производить очистку журнала со­бытий, что позволит избежать переполнения журнала. Чтобы очистить журнал событий используйте команду «Clear All Event» (Очистить все со­бытия). Для облегчения просмотра событий, вы можете производить сор­тировку событий по времени создания.

Кроме того, администратор системы может сохранить текущие за­писи журнала в текстовом файле. Если выбран формат файла журнала, ав­томатически добавляется расширение имени файла. EVT. Для выбранных текстовых форматов автоматически добавляется расширение. ТХТ. При сохранении файла журнала, сохраняется весь журнал, вне зависимости от выделенных вами событий.