查看賬戶安全性稽核失敗日誌事件

開啟賬戶安全性稽核後，會在系統日誌安全性裡面看到一些異常審核失敗的日誌，怎麼判斷這些日誌是否正常呢？

如：

 

多少是審核失敗的安全性日誌，事件描述：

 

windows 已經檢測到一個應用程式正在偵聽傳入流量。

名稱: -

路徑: C:\WINDOWS\system32\svchost.exe

進程標識符: 740

使用者帳戶: NETWORK SERVICE

使用者域: NT AUTHORITY

服務: 是

RPC 伺服器: 否

IP 版本: IPv4

IP 協議: UDP

連接埠號碼: 55453

允許的: 否

通知使用者的: 否

有關更多資訊，請參閱在 http://go.microsoft.com/fwlink/events.asp 的說明及支援中心。

 

 

處理辦法：

 

1. 在出現該日誌資訊的伺服器上，點擊“開始”——“運行”，輸入cmd，進入命令提示字元。

2. 輸入“tasklist /svc”，查看svchost.exe（740）對應的服務是否是系統正常的服務，如：dhcp，dnscache等。

3. 如果是正常的網路服務，您可以安全的忽略該資訊。

 

 

另：賬戶安全性稽核推薦

在運行中輸入gpedit.msc斷行符號，開啟組策略編輯器，選擇電腦配置-Windows設定-安全設定-稽核原則在建立審核項目時需要注意的是 如果審核的項目太多，產生的事件也就越多，那麼要想發現嚴重的事件也越難當然如果審核的太少也會影響你發現嚴重的事件，你需要根據情況在這二者之間做出選 擇。

推薦的要審核的項目是:

登入事件 成功 失敗

賬戶登入事件 成功 失敗

系統事件 成功 失敗

策略更改 成功 失敗

對象訪問 失敗

目錄服務訪問 失敗

特權使用 失敗