在Exchange Server的使用過程中,我們經常需要分析是否有人攻擊或是盜用帳號和是否被中繼，特別是在發生SMTP隊列存在大量待發不明郵件時,這種情況需要通過分析是系統中病毒,還是被人中繼,而在你確認沒有開始Exchange Server的中繼,你就需要檢查帳號是否被人盜用或是密碼泄漏了.把SMTP驗證過程記錄下來可以協助你,本文將說明如何啟用應用程式記錄檔來記錄通過Exchange Server SMTP嘗實驗證過程（無論成功或是失敗）及如何看懂這些日誌： 一.開啟日誌功能 1.開啟Exchange System Manager(EMS)2.選擇“Administrative Groups”->“Frist Administrative Group”->“Servers”->“ServerName（Exchange的伺服器名稱）”，右鍵擇擇屬性。3.單擊“Diagnostics Logging”(診斷記錄)選項卡4.單擊選擇左邊“Services”欄的“MSExchangeTransport”5.單擊選擇右邊“Categories”欄的“SMTP Protocol”(SMTP 協議)6.在最下面的“Logging Level”(記錄層級)中選擇“Maximum”（最進階）7.單擊“確定”視窗，完成設定。如：(圖一 Exchange 2003 Server的設定介面) (圖二 Exchange 2000 Server的設定介面) 二。如何看懂這些日誌： 當有使用者正在針對串連SMTP發送郵件，前需要進行身分識別驗證，這個記錄將在應用程式記錄檔中看到與以下內容類別似的事件（你可以通過“管理工具”－>“事件檢視器”來查看）： 1.第一種日誌情況Event Type:Information
Event Source:MSExchangeTransport
Event Category:SMTP Protocol
Event ID: 1708
Date: 10/15/2004
Time:8:13:24 AM
User:N/A
Computer:SERVER
Description:SMTP Authentication was performed successfully with client remote_computername.The authentication method was LOGIN and the username was company/username. 在這個日誌中，如果中繼看起來是來自被攻擊的帳戶密碼，請到 Active Directory“使用者和電腦”中刪除該帳戶，或是禁用該帳戶或者更改該帳戶的密碼。 2.第二種日誌情況：Event Type:Information
Event Source:MSExchangeTransport
Event Category:SMTP Protocol
Event ID: 1708
Date: 10/15/2004
Time:8:27:52 AM
User:N/A
Computer:SERVER
Description:SMTP Authentication was performed successfully with client remote_computername.The authentication method was LOGIN and the username was COMPANY/Guest. 在這個日誌中說明，遠端使用者使用的是來賓帳戶。請使用 Active Directory“使用者和電腦”來禁用來賓帳戶，注意是禁用，不是只更改來賓帳戶的密碼哦。 因為今天幫一個朋友遠程檢查一台Exchange Server，需要這方面的操作，所以簡單的寫了和大分享。請大家指正。如有任何問題請到以下地址回複提出：
http://www.5dmail.net/bbs/Announce/announce.asp?BoardID=35&ID=59102
