微软系统中任何关于如何限制或控制管理员权限的讨论通常都会得到这样的结果：你怎样才能不把管理权限送给那些你不信任的人?这有一定道理，但是在没有证据表明管理员做错了事情的情况下，如何才能正确判断一个管理员是否值得信任呢?再者，你如何证明你的判断呢?你不能剥夺一个域管理员太多权限，尤其是在每个域都要管理的多网域环境下，所以说有时候限制管理员的权利和授权活动这项工作很难实现。辅助人员和供给人员通常也需要具有管理权利，而且有时政治需求还会需要更多的管理人员。所以，真正的问题是，你如何去审计一个管理员?虽然答案是只要启用审计就行了，但是只是简单地启用审计功能并不能解决所有的问题。举例来说，我最近与许多管理员一起进行了一项大型的活动目录部署活动。他们有一个应用程序，使用特定的用户对象属性提供对该应用程序的连接。站在安全相关立场，他们发现管理员可以禁用审计功能，修改一些关键的属性，并且可以对该应用程序做坏事。然后该管理员可以重新启用审计功能而不会被觉察---甚至WindowsServer2008R2的属性审计功能也是如此。启用审计功能的时候，系统可以记录足够的事件，从中可以看出谁改变了对象，以及谁改变了属性。但是由于审计功能被禁用，所有这方面的证据都消失了。
成都创新互联公司成立于2013年，是专业互联网技术服务公司，拥有项目网站设计制作、成都网站设计网站策划，项目实施与项目整合能力。我们以让每一个梦想脱颖而出为使命，1280元文圣做网站,已为上家服务,为文圣各地企业和个人服务,联系电话:13518219792
WindowsNT/2000的系统日志文件有应用程序日志AppEvent.Evt、安全日志SecEvent.Evt、系统日志SysEvent.Evt，根据系统开通的服务还会产生相应的日志文件。例如，DNS服务器日志DNS Serv.evt，FTP日志、WWW日志等。
日志文件默认存放位置：%systemroot%\system32\config，默认文件大小512KB。这些日志文件在注册表中的位置为HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog，可以修改相应键值来改变日志文件的存放路径和大小。
概述
查看系统日志方法：开始→设置→控制面板→管理工具中找到的“事件查看器”，或者在【开始】→【运行】→输入 eventvwr.msc 也可以直接进入“事件查看器”在“事件查看器”当中的系统日志中包含了windows XP 系统组建记录的事件，在启动过程中加载驱动程序和其他一些系统组建的成功与否都记录在系统日志当中。
1、可以从查看服务信息审计。
2、可以从查看驱动信息审计。
3、可以从查看注册表键值审计。
4、可以从查看系统日志审计等方面审计。
审核who-data
新版本3.4.0。
从3.4.0版本开始，Wazuh集成了一项新功能，可以从监控文件中获取who-data。
此信息包含对监控文件进行更改的用户，以及用于执行这些更改的程序名或进程。
一、在Linux中审计who-data
who-data监视功能使用Linux审计子系统获取关于谁在监视目录中进行了更改的信息。这些更改产生审计事件，这些审计事件由syscheck处理并报告给经理。
1、配置
首先，我们需要检查审计守护进程是否安装在我们的系统中。
在基于RedHat的系统中，Auditd通常是默认安装的。如果没有安装，我们需要使用以下命令进行安装:
# yum install audit
对于基于Debian的系统，请使用以下命令:
# apt install auditd
下一步是配置syscheck，以便在我们的ossec.conf文件的所选文件夹中启用whodata监视:
添加此配置后，我们需要重新启动Wazuh来应用更改。
我们可以检查是否应用了用于监视所选文件夹的审计规则。要检查这一点，我们需要执行以下命令
# auditctl -l | grep wazuh_fim
并检查是否添加了规则
当代理停止时，我们可以使用相同的命令检查添加的规则是否已成功删除。
2、警报字段
当启用whodata时，在FIM警报中接收到以下字段:
3、警报的例子
在下面的示例中，我们可以看到用户Smith是如何向文件/etc/hosts.添加新IP的允许使用具有sudo权限的nano编辑器:
日志格式警告:
JSON格式的警告:
二、在Windows中审计who-data
1、它是如何工作的
who-data监视功能使用Microsoft Windows审计系统获取关于谁在监视目录中进行了更改的信息。这些更改产生审计事件，这些审计事件由syscheck处理并报告给管理者。兼容大于Windows Vista的系统。
2、配置
要在whodata模式下启动监视，必须正确配置要监视的目录的SACL。Wazuh在启动ossec.conf文件中标记whodata="yes"的目录时自动执行此任务:
系统审计策略也需要正确配置。对于大多数受支持的Windows系统，这部分也是自动完成的。如果您的系统优于Windows Vista，但审计策略无法自配置，请参阅配置本地审计策略指南。
三、警报字段
启用whodata时，将收到以下字段:
四、警报的例子
日志格式警告:
JSON格式的警告:
