開啟登錄審核監視用機情況

呂梁

啟用Windows 10系統的審核功能后，系統就會跟蹤并記錄系統使用事件。利用系統審核功能，我們不僅可以根據系統運行狀態對故障進行排除，還可以監視用戶在計算機上進行的操作。如果要判斷在自己沒有使用電腦的情況下，電腦是否被其他人登錄造訪，只要保證在開啟了系統登錄審核功能的情況下，借助Windows事件查看器就能一探究竟。

1.通過組策略開啟登錄審核功能

在默認的情況下，Windows的登錄審核策略處于關閉狀態，我們需要首先開啟此功能。按下Win+R組合鍵啟動“運行”程序框，在運行框中輸入GPEDIT.MSC并回車，啟動組策略編輯器（圖1）。

在組策略編輯器的左側窗格導航欄內，依次定位到“計算機配置→Windows設置→安全設置→本地策略”，然后單擊下屬的“審核策略”組，以顯示其包含的各種審核項目（圖2）。

接下來，雙擊右側窗格列表中的各種審核策略，尤其是“審核登錄事件”和“審核賬戶登錄事件”，在審核操作列表中，將“成功”和“失敗”選項均加以勾選，最后點擊“應用”和“確認”按鈕（圖3）。

2.通過事件查看器查看非法登錄

右鍵單擊Windows 10“開始”按鈕，然后點擊彈出菜單中的“事件查看器”選項，啟動事件查看器（圖4）。

在事件查看器窗口左側的導航欄內，依次點擊“Windows日志→安全”;隨后，在中部窗格中會出現許多具有登錄日期和時間戳的條目（圖5）。由于每次登錄時，Windows會在數分鐘內記錄許多登錄條目，故而可以此來判斷系統被執行登錄操作的時間。

雙擊“任務類別”為Special Logon（特殊登錄）的條目，在打開的“時間屬性”窗口中，可看到登錄賬戶名、賬戶域等信息（圖6）。此外，通過事件窗口右側的“篩選當前日志”鏈接，可根據情況有目的地篩選日志記錄，以便更快、更精準地定位和深入研判登錄情況。

盡管可以在上述事件窗口中看到這些系統登錄的日志，但對于足夠聰明的入侵者來說，完全可以在訪問后清除掉所有的事件日志。為了預防這種情況的發生，我們可以通過設置，讓系統記住上次登錄的事件，并使這些信息不能被刪除。為此，需要借助于注冊表編輯器來完成任務。

按下Win+R組合鍵，啟動“運行”對話框，輸入REGEDIT打開注冊表編輯器。在注冊表編輯器內，依次定位到“HKEY_LOCAL_MACHIKIE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Policies＼System”（圖7）;右鍵單擊System項，選擇“新建→DWORD（32位）值”，新建一個DWORD值（圖8）;隨后，將該新建值的名稱修改為DisplayLastLogonlnfo，雙擊編輯DisplayLastLogonlnfo值，將其“數值數據”修改為1，然后點擊“確定”（圖9）。這樣，當下次登錄到計算機時，將會首先看到上次登錄Windows的時間以及任何嘗試的失敗記錄，不論是自己登錄系統還是陌生人登錄系統的記錄，都會有所記錄和提示。

安全審核無論對于個人計算機還是企業的系統，都非常重要。由于審核日志能夠記錄是否有違反安全的事件發生，如果遭到入侵，正確的審核日志設置所生成的事件記錄，將包含非常有用的入侵信息，為進一步研判入侵事件提供重要的依據。因此，對資料安全比較敏感的個人或部門，要充分用好這一特性設置。