А.В. Попов (wmi_popov@mail.ru) Мордовский госуниверситет, Саранск Е.А. Шикин (shikinea@mail.ru) Мордовское отделение Сбербанка, Саранск Мониторинг журналов. - презентация

1 А.В. Попов Мордовский госуниверситет, Саранск Е.А. Шикин Мордовское отделение Сбербанка, Саранск Мониторинг журналов событий с помощью сценариев WMI Конференция «Технологии Microsoft в теории и практике программирования», МГУ им. М.В.Ломоносова, Москва, 4-5 марта 2004 г.

2 План доклада Журналы событий Windows и информационная безопасность Стандартные средства работы с журналами событий Технология Windows Management Instrumentation (WMI) как инструмент обработки и анализа событий событий WMI-утилита EventRegister.hta для мониторинга журналов событий Источники информации по WMI

3 Журналы событий Windows и информационная безопасность Старт операционной системы Вход в систему пользователя Запуск процессов Использование привилегий Изменение политик безопасности

4 Обработка ж урнал ов событий Анализ имеющихся записей о событиях Автоматическая обработка возникаю- щих событий определенного типа

5 Стандартные средства работы с журналами событий (Windows XP) Оснастка MMC "Просмотр событий"

6 Стандартные средства работы с журналами событий (Windows XP) VBScript-утилита EventQuery.vbs (используется WMI)

7 Стандартные средства работы с журналами событий (Windows XP) Исполняемая утилита EventTriggers.exe (используется WMI)

8 Общая схема WMI Провайдер журнала событий (Event Log provider) Провайдер журнала событий (Event Log provider) Журнал событий (Event Log) Журнал событий (Event Log) Подсистема Win32 Event Log API Registry API Win32 API Провайдер реестра (Registry provider) Провайдер реестра (Registry provider) Системный реестр (Registry) Системный реестр (Registry) Провайдер подсистемы Win32 (Win32 provider) Провайдер подсистемы Win32 (Win32 provider) CIMOM (служба WMI) WMI API WMI COM API Библиотека поддержки сценариев WMI (WMI Scripting Library) Библиотека поддержки сценариев WMI (WMI Scripting Library) WMI ODBC Adapter Приложения Win32 Сценарии WMI Приложения БД Репозиторий CIM (CIM repository) УПРАВЛЯЮЩИЕ ПРОГРАММЫ ЯДРО WMI УПРАВЛЯЕМЫЕ РЕСУРСЫ...

9 Обработка событий с помощью WMI Новая запись о событии Новая запись о событии Запуск приложения Запуск приложения Запись в текстовый файл Запись в текстовый файл Отправка сообщения по SMTP Отправка сообщения по SMTP Фильтр событий (WQL-запрос) Фильтр событий (WQL-запрос) Журнал событий (Event Log)

10 Утилита EventRegister.hta

11 Источники информации по WMI Книга "Windows 2000 Scripting Guide", примеры сценариев WMI Сайт "Технологии администрирования Windows" (информация по WMI, WMIC, ADSI, WSH) А.В.Попов, Е.А.Шикин. Администрирование Windows с помощью WMI и WMIC. - СПб.: БХВ-Петербург, с.