יומן אירועים במחשב - Event Viewer
פרקי ההרצאה: יומן אירועים במחשב - Event Viewer
תמלול ההרצאה: יומן אירועים במחשב - Event Viewer
הטקסט המלא של הדקות הראשונות בהרצאה «יומן אירועים במחשב - Event Viewer» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזאת אנחנו נדבר על מה זה Event Viewer ונבין איך נרשמים שם האירועים ומה זה אומר ובואו נתחיל מהבנה כללית על מה מדובר מדובר על יומן אירועים כמו יומן בצבא שכל אירוע שקורה רושמים שמה ואין שם שום קסם פשוט מאוד תוכנה רושמת את האירוע
אוקיי זהו זה נורא פשוט זה הרבה יותר פשוט ממה שזה נשמע איזה יומנים יש לנו יש לנו יותר מיומן אחד יש לנו יומן של אפליקציות שכל מיני אפליקציות פה רושמות אירועים כן זה יכול להיות אירוע למידע בלבד לדוגמה צריך לעשות ריסטארט לווינדוס שלי אתם רואים ווינדוס שלי צריך לעבור ריסטארט
כנראה שעברו איזה שהם עדכונים אוטומטיים והוא מחכה לריסטארט זה סתם אירוע שתוכנה מודיעה איזה תוכנה שהסורס שלה זה ריסטארט מנאג'ר אוקיי יש תוכנה שרצה ברקע שנקראת ריסטארט מנאג'ר והיא כתבה ביומן האירועים שצריך לעשות ריסטארט.
אוקיי? לכל אירוע יש מספר אלף וחמש, אתם רואים? עשר אלף וחמש. עשר אלף ואחת שאיזשהו סשן סטארטד. כן? איזשהו סשן מסתיים עם הריסטארט מנאג'ר.
הנה, אתם רואים פה, לא יודע מה, איזה אפדייט של משהו שקשור לאבטחה. יש לי פה אירועים שדוטנט עשה לי איזושהי שגיאה, איזושהי תוכנה נפלה לי באמצע העבודה, ומערכת ההפעלה רשמה פה שגיאה.
בואו נראה עוד מעט נראה אנחנו איך אנחנו כותבים פה אירוע לבד אפילו שנראה את זה מהצד של התוכנה ואתם תבינו מה זה אומר מה שהכי חשוב זה לדעת זה ככה שלכל אירוע יש source זה מי שיצר את האירוע במקרה זה תוכנת .NET או user profile אתם רואים תוכנה שאחראית על פרופיל של user כשאתם עושים לוגין אומרת שבuser 500 דרך אגב 500 זה אדמיניסטרטור
קרה אירוע 1530 ופה ההסבר לאירוע הזה כן עכשיו אם אתם לא מבינים מה כתוב פה וזה מסובך לכם אתם יכולים לקחת את הסורס הזה את האיבנט האידי את המספר של האירוע ומי יצר אותו וללכת לחפש בגוגל מה קרה אוקיי עכשיו לרוב אתם מחפשים אירועים של אירור שמשהו לא עובד לכם בעצם לאפליקציה רגילה לאפליקציה רגילה בווינדוס יש או אפשרות להקפיץ
לכם הודעה על מסך שאומרת תראה קרה דבר כזה וכזה, לעשות אוקיי, לעשות קאנסל אבל לפעמים אין אופציה כזאת, למה? כי זה שרת שאין אף אחד שיושב לידו כן, כמו שרת אינטרנט אז אם קורה איזשהו אירוע, התוכנה אין לה איך לשלוח לכם סמס או להקפיץ לכם הודעה על מסך, כי אין אפילו, לרוב השרתים בכלל אין מסך
ואף אחד לא יושב ומסתכל על המסך הזה אז התוכנה מודיעה את כל הדברים שהיא רוצה להודיע, רושמת אותם ביומן האירועים והאחריות של מנהל הרשת לבוא ולראות את היומן האירועים הזה.
זאת אומרת, אתה יכול להתחבר ליומן אירועים מרחוק ולראות אותו. איך מתחברים מרחוק? כנראה לכם, אתם יכולים פה connect to another computer. כשאתם באים להתחבר למחשב אחר, אתם צריכים לתת לו שם וסיסמה, שזה יחסית חידוש, בימים של אקספי זה לא היה, שאתה יכול לתת שם וסיסמה למחשב המרוחק, ולתת את השם של המחשב או את ה-IP שלו, והוא
מתחבר, כן? שמתחבר למחשב אחר עם שם וסיסמה שאתם נותנים לו ואז אתם יכולים לראות אירועים כשאתם נותנים פה שם וסיסמה זה שם וסיסמה במחשב ההוא זה לא מעניין מי אתם במחשב הזה מעניין שם וסיסמה מהמחשב של היעד כדי לבדוק שבאמת מותר לכם לקרוא את האירועים שקרו שם ביומן וכדי שיהיה
לכם מותר לקרוא את האירועים של יומן מרוחק בואו ניכנס לcomp mgmt או right click על my computer manage זה ככה השיטה הישנה והטובה מה שנקרא ובקומפ mgmt בקומפ מנג'מנט כן מי שפספס אותי זה קומפ מנג'מנט קונסולה מוכנה msc מייקרוסופט קונסולה קונסולה מוכנה שנקראת קומפ mgmt מי שלא סגור על מה
אני מדבר איתה על זה כי אני חושב שאני מסביר את זה בשירתים ולא עכשיו בסיסטם 32 יש לנו קונסולות מוכנות כלים מוכנים אתם רואים כל מיני כלים מוכנים שמייקרוסופט פרסו לנו יש לנו על הקונסולות האלו הסבר מפורש בחלק של שרתים בפרק 2 אם אני לא טועה אתם רואים יש לנו Event Viewer קונסולה מוכנה רק של Event Viewer ואנחנו
מחפשים CompMGMT זה קונסולה מוכנה שיש בה כמה דברים כולל גם Event Viewer אתם רואים אותו דבר וגם יוזרים ביוזרים יש בקבוצה ובכל מחשב לוקאלי יש קבוצה שנקראת Event Event Log Readers.
Members of this group can read event logs from local machine. מי שחבר בקבוצה הזאת יכול לקרוא את זה מרחוק. את ה-Event Viewer של המחשב.
עכשיו שימו לב, ברירת מחדל אין פה אף אחד, אבל אדמיניסטרטור יש לו גם ככה הרשאה כזאת. אז אני יכול פה להכניס מישהו. עכשיו זה לא מישהו ממחשב ההוא, אל תתבלבלו.
תמיד אנחנו מדברים על ניהול לוקאלי של המשתמשים. אז מישהו מהיוזרים פה. מהיוזרים האלה אלא אם כן זה בדומיין ובדומיין במתחם אבטחה של הארגון אפשר להכניס גם יוזרים לא רק מהרשימה הלוקאלית אלא גם מהרשימה מהדומיין שלי אוקיי יפה מאוד
אז אני יכול פה להכניס פה אנשים ואז ברגע שהם יתחברו למחשב שלי מרחוק הם יוכלו לקרוא את יומן האירועים שלי ולראות איזה אירועים היו לי בואו נעבור קצת על האירועים אחרי שהבנו את הקטע של האבטחה נעבור על יומן האירועים מאוד חשוב גם סאבסקריפשן סאבסקריפשן פה שאני אני יכול להיות מנוי ליומן אירועים אחר ולמשוך אוטומט את האירועים שלו אליי.
לא להתחבר עידנית, למשוך באוטומט. זה גם יחסית חדש. מה זה חדש? מוויסטה, כן? אצלכם זה כבר לא חדש. אבל בימים של אקספי זה היה בלתי אפשרי.
אבל כבר עברנו וסיימנו את הימים של אקספי. אנחנו יכולים לעשות Windows Event Collection Collector Service. זה למעשה סרוויס, תוכנה שרצה ברקע, שבאה במקומי, מתחברת למחשב מרוחק ולוקחת את האיבנטים משם ומביאה אותם אליי, עושה קופי פייסט לאיבנטים, לאירועים,
בשביל זה צריך להפעיל את הסרוויס הזה ולהגיד לו לאיזה מחשב אני רוצה להתחבר ואיזה אירועים אני רוצה לשלוף, אולי לא כל האירועים מעניינים אותי, אולי מעניינת אותי רק תוכנה מסוימת ורק אירועים מסוימים מתוך התוכנה הזאת.
אבל טוב, אנחנו לא נעשה את זה עכשיו בגדול, טוב בואו נעשה את זה, אתם יודעים מה, הפעלנו את הסרוויס ואז אני עושה create subscription, ברגע שאני עושה create subscription הוא עכשיו ישאל אותי מה השם לדוגמה מלא יודע מה אני לוקח את זה מסיט לא יודע מה סרבר 2 סתם דוגמה זה שם של מנוי הוא אומר לי האם אתה לאן אתה
רוצה להכניס אותם אחרי שהם מגיעים אליך לאן אתה רוצה לשים שימו לב יש לי הרבה מאוד יומנים אצלי אז יש יומן ברירת מחדל שנקרא forwarded events זה זה כל האירועים שמגיעים ממישהו אחר ייכנסו ליומן הזה כדי לא להתבלבל.
יש לי הרבה יומנים, הרבה מחברות וכדי שלא יהיה לי בלאגן. כאילו זה אמור להיות מסודר, כן? כל תוכנה מכובדת גדולה יש לה יומן משלה ואם אין לך יומן משלך אתה יכול להיכנס ליומן של אפליקיישנס ברירת מחדל שזה יומן כללי של כל התוכנות.
אני משאיר את זה ל-forwarded events שזה יומן פה שמיועד ללוגים שמגיעים ממחשב אחר. ומאיזה מחשב אני רוצה לאסוף אותם ואני יכול להגיד אני רוצה ממחשב כזה וכזה לקחת אותם ולהגיד מאיזה מחשב אני רוצה לאסוף אותם ואני יכול לעשות פילטר ולהגיד לו אתם רואים הוא רוצה שיהיה לי דומה כן זה לרוב משתמשים בזה בארגונים
ואיבנט פילטר ואני אומר רק אירועים מסוימים לדוגמה אני יכול להגיד רק אירועים קריטיים ורק מיומן מסוים נניח רק מתוך יומן של security כן זה יומנים שכביכול של מחשב מרוחק או שאיזה source איזה תוכנה יצרה אותם או לפי יומן לסנן לפי יומן או לסנן לפי תוכנה שמייצרת אותם שימו לב איזה תוכנות יש לי פה כל מיני תוכנות עוד מעט אנחנו נעשה אירועים לבד אני אספר לכם כן אנחנו נעשה ממש תוכנה
קטנה לבד שמייצרת אירועים אז בקיצור אנחנו יכולים לבחור פה אירועים ויש פה עוד כמה דברים שאפשר לעשות זה נקרא לעשות מנוי ואז האירועים הם מגיעים אליי ל-Event Viewer פה ואני יכול לראות אותם למרות שהם באו ממחשב אחר.
שימו לב, יש פה עמודה של קומפיוטר. יפה מאוד. עכשיו, מה המשמעות של האירוע? אתם צריכים, זה התוכנה נותנת לזה משמעות, כן?
כל תוכנה נותנת משמעות לאירוע. אז לדוגמה, יש לי פה לא יודע מה, טיים סרבר, אירוע של סמכון שעון, אתם רואים תוכנה שנקראת NTP Client שזו תוכנה שרצה ברקע והיא אומרת שלא יודע מה, היא סנכרנה שעון מול שרת של מייקרוסופט, אוקיי?
יפה מאוד. אז, וזה הצליח, כן? אני מבין שזה הצליח. עכשיו, האירועים זה לאו דווקא דברים רעים, זה גם דברים טובים, גם דברים רעים, זה צורה שבה התוכנה מתקשרת עם המנהל רשת, אוקיי?
מאחר והיא לא יודעת לשלוח סמסים או להקפיץ הודעות במסך שאין. עכשיו, יש גם תוכנות צד שלישי של חברות אחרות שאוספות אירועים, מנתחות אותם, נותנות לכם משהו גרפי ויפה, פה אין כלום.
זה מנגנון כזה של זה עכשיו נניח אני רוצה לנקות את האירועים שיש לי פה אתם רואים יש לי פה הרבה מאוד אירועים אני יכול למחוק אותם לעשות clear אני יכול לעשות import אני יכול תכף אני אראה לכם clear log clear log מוחק את כל האירועים עכשיו האירועים האלו סתם אם אני עושה clear log clear הופה מחקתי את הכל עכשיו זה מתחיל מאפס בסקיוריטי לדוגמה אם האקרים עושים משהו אז הם אוהבים למחוק את הלוגים כדי שלא יגלו מה
הם עושים אחרי שאתם עושים הם עושים עושים clear log, עושים clear log, אתם עושים clear, נרשם אירוע שהיה clear log, audit log was cleared, אתם רואים?
כאילו אם אתה מנקה יומן אז הוא כותב בשעה כזאת וכזאת נוקה היומן, כדי שאי אפשר יהיה לעשות בסיקיוריטי ללא עקבות.
אוקיי, אז כתוב פה שיוזר בשם יוני עשה audit log was cleared, זה למידת חומה information, יוזר שרשם את האירוע not available, זה לא יוזר זה מערכת הפעלה עצמה רשמה את האירוע ויפה מאוד עכשיו בגלל שיש לי הרבה מאוד יומנים שימו לב כמה יומנים יש לי שימו לב כמה מייקרוסופט
עשו יומנים אתם רואים תסתכלו כמה יומנים וזה מחשב רגיל זה לא איזה מחשב מיוחד אז בגלל שיש לי כל כך הרבה יומנים מצד אחד זה עושה סדר לדוגמה group policy אני יכול לראות פה שבשעה כזאת וכזאת התבצעה פוליסה הנה group policy session completed גרופס, זה, ווס דטקטד, פרמטר, בקיצור אתם רואים
פה תוכנה. אתם יכולים לראות פה הרבה תוכנות שאתם מכירים אולי, אז לדוגמה יש לי שרת ה-IS פה, אתם רואים ה-IS, קונפיגוריישן, מישהו שינה הגדרות של ה-IS.
טוב, צריך פה, בקיצור בגלל שיש פה הרבה יומנים וזה מאוד נוח, כשאתם רוצים לתחקר משהו, יש גם Views, Views זה כשאתם רואים את האירועים, דרך מסננת כלשהי אז פה לדוגמה באדמיניסטרטיב אבנטס שזה מובנה בווינדוס אני יכול לעשות בפרופרטיז ולראות פה פילטר לדוגמה יש פה פילטר
רק אירועים קריטיים ווורנינגס לא אינפורמיישן ורק מיומנים כאלו וכאלו זאת אומרת יש פה רשימת יומנים שמהם לוקחים את האירועים ורק אלו שהם בחומה כזאת כזאת וכזאת כי זה מובנה בווינדוס אני יכול לעשות גם מסננת משלי אז המסננת הזאתי בעצם מראה לי את האירועים שהם לא סתם למידה על
האירועים חשובים ורק מיומנים מסוימים אוקיי אז לדוגמה יש לי פה גם Web Server התקנתי על Windows זה Windows 10 רגיל התקנתי עליו שרת ה-IS בתוך ה-Windows יש לי שרת ה-IS שרת Web אז אתם יכולים לראות פה שלא יודע מה כל מיני אירועים שקרו בשרת ה-Web זאת מסננת שברגע שהתקנתי את התפקיד של ה-IS הוא התקין לי מסננת כזאת
ואני יכול לראות שפה במסננת הוא כותב מאיזה יומן לקחת את זה ואיזה אירועים לקחת, אוקיי? אז הוא כותב פה רק יומנים. אם זה מגיע בצורת XML כזאת, שזה מה שקורה מאחורי הקלעים.
אני יכול גם לבנות מסננת משלי, לעשות Create Custom View, ולבנות מסננת משלי ולהגיד רק אירועים קריטיים בלבד, ורק מעניין אותי מאפליקציה מסוימת או מיומן Security, לדוגמה מסוימת, או מכל היומנים.
אתה יודע, כל היומנים שיש לך רק אירועים קריטיים תראה לי, מה עשיתי פה לא נכון יופי יופי יופי מה זה יותר מדי בשבילו? בוא נראה הוא אומר תראה אתה יותר מ-10 יומנים האם אתה בטוח כי זה ייקח לו מלא זמן? אני אומר לו יאללה בסדר all critical events הנה יש לי מסננת חדשה שנקראת all critical events והוא אומר שזה יותר מדי שאני הגזמתי
עם המסננת הזאת בואו נעשה לו סינון אחר נגיד לו רק מתוך יומן של אפליקציה. מעניין אותי, רק מתוך יומן של תוכנות. תכף נרשום שם לבד אירועים ואז נראה אותם. אז פה אני יכול גם לסנן לפי ID מסוים רק אירוע מספר 700, רק אירוע מספר 344 או כל האירועים חוץ מאירוע 804. מה המשמעות של המספר? זה כל אפליקציה
מחליטה מה המשמעות, אתם לא יכולים לדעת. מי שעושה את האירוע זה התוכנה עצמה, אז המתכנת שלה מחליט. ופה אתם צריכים לראות, אה, נקיימו את היומן, אז אין לנו אירועים עכשיו.
אנחנו יכולים גם לשנות את זה. פה בפרופרטיז, אנחנו בואו נשנה ליומן לא של אפליקציות, אלא לסיסטם נניח, יומן של סיסטם, כל מה שקריטיקל.
בואו נראה, הנה יש לי אירוע אחד, פאוור, מישהו חיבה לי את החשמל בצורה לא מסודרת, בתאריך כזה וכזה, בשעה כזאת וכזאת. בסדר גמור.
יפה מאוד. עכשיו, מה אני יכול לעשות? אני יכול להצמיד לאירועים מסוימים או ליומנים מסוימים טאסקים, משימות מתוזמנות. זאת אומרת, משימה מתוזמנת תהיה כאשר קורה אירוע.
את touch task to this custom view. כשנכנס אירוע ליומן הזה, או כשנכנס אירוע למסננת הזאת, אז התבצע איזושהי משימה כמו הפעלה של תוכנה, כמו שליחת מייל.
אני יכול להצמיד את הטאסק, את הפעולה, שתכף נעשה אותה, או למסננת כולה, או לאירוע בודד, לדוגמה אני יכול להגיד, תקשיב, רק כשיש אירוע כלשהו, אתם רואים, את touch task to disseminate או את touch task to this custom view, אוקיי?
אז אני יכול לעשות לדוגמה touch task to custom view, ואז הוא אומר, הוא פותח לי, שימו לב, זה task schedule, כן? הוא פותח לי את ה-schedule task ומוסיף לשם את האירוע.
בואו תראו איפה יש לנו פה schedule task, הנה אתם רואים task scheduler event viewer tasks זה גם אני מפה יכול לעשות create basic task תכף תראו אז בואו נעשה זה לא משנה זאת אומרת יש קשר בין משימה מתוזמנת אבל התזמון שלה הוא לא לפי שעות אלא לפי אירוע שקורה במערכת שזה גם אופציה חזקה שהתחילה בוויסטה האמת שזה היה גם באקספי אבל זה לא היה גרפי
אז בימים של אקספי הייתי צריך לרשום את זה ידנית אז ככה אני אומר event all critical events נקרא לזה to email הוא אומר מה הפילטר, מתי מופעל, custom event filter, שזה אומר מתי זה מופעל, action, האם להפעיל איזושהי תוכנה, אני יכול להגיד להפעיל איזושהי תוכנה ולתת שם של תוכנה, נניח c-windows-system32-calc.exe, מכירים תוכנה של calc.exe?
תוכנה סופר חשובה, כל חודש צריך להשתמש בה. אוקיי, calc.exe סתם, אנחנו יכולים לעשות תוכנה כלשהי ולתת לה ארגומנטים, דוגמא סלאש משהו אם זה קובץ אקסי אנחנו יכולים במקום קאלק לשלוח אימייל אם הם כבר אומרים שהם לא רוצים לתמוך בזה דיפרקטת שהם רוצים להפסיק לתמוך בזה זה עדיין נתמך אבל בגדול הם רוצים להפסיק לתמוך בזה send email ואז הוא שואל אותך מי השולח מי הנמען
מה הנושא ומי זה שרת smtp שדרכו שולחים אוקיי שימו לב אין פה שם וסיסמה בשליחה אין פה דדיקציה בשרת smtp אתם צריכים לדאוג לזה שאתם מתחברים ישירות לשרת שלכם אם אם המייל שלכם בג'ימל, אתם צריכים לתת פה את הכתובת של ג'ימל עצמו, כדי שהוא יתחבר ישירות לשרת,
אחרת הוא יחשוב שאתם מנסים דרכו להעביר מכתבים למישהו אחר, והוא יעצור את זה. אז פה לתת ישירות את הכתובת מייל של הארגון שלכם, או של הזה, איך עושים את זה, האמת זה ממש לא עכשיו, אבל אתם יודעים מה, בואו נעשה משהו קצר.
אני לא אסביר לכם איך עובדת מערכת של דואר, יש לנו בשביל זה סרטים נפרדים, גדול אתם יכולים לעשות NS-LOOKUP זה לשאול את ה-DNS שאלות NS-LOOKUP מינוס טייפ MX, MX זה רשומות ב-DNS שאומרות מיהו מייל אקשיינג'ר, מיהו שרת אימיילים, מיהו שרת שמוכן לקבל אימיילים, זה רשומות ב-DNS
שמציינות מיהו שרת אימיילים של נניח gmail.com. עכשיו מי שלא מבין איך עובד DNS ורוצה פרטים