巧用策略記錄上次登錄時間
在多人共同使用同一台計算機的情況下我們經常會碰到這樣一種現象那就是當自己臨時離開計算機的這段時間內有其他用戶偷偷利用自己的賬號登錄系統查看自己的操作記錄以及其他訪問痕跡為了弄清楚究竟是誰在偷偷關注自己的操作隱私我們可以利用 Windows Vista系統的組策略設置功能來自動追蹤顯示上一次登錄系統的時間同時我們還能順便查看到究竟是哪個賬號偷偷登錄了本地計算機系統下面就是該方法的具體實現步驟:
首先打開Windows Vista系統的“開始”菜單從中點選“運行”命令在彈出的系統運行對話框中輸入“gpeditmsc”字符串命令單擊“確定”按鈕後進入對應系統的組策略控制台窗口;
其次在該控制台窗口的左側顯示窗格中點選“計算機配置”節點選項再從該節點下面逐一點選“管理模板”/“Windows組件”/“Windows登錄選項”項目同時從“Windows登錄選項”項目的右側顯示窗格中找到目標組策略“在用戶登錄期間顯示有關以前登錄的信息”之後用鼠標雙擊目標組策略選項打開選項設置對話框
檢查該對話框中的“已啟動”選項是否處於選中狀態如果發現它還沒有被選中時我們只要將它重新選中再單擊“確定”按鈕保存好上述設置操作如此一來本地Windows Vista系統就具有自動記錄上次登錄系統時間的功能了
完成上面的設置操作後如果有非法攻擊者趁我們不在計算機現場的時候偷偷利用我們的賬號登錄計算機時Windows Vista系統就會自動將非法攻擊者登錄系統的時間記憶保存下來下次我們打開計算機輸入登錄系統的密碼時系統屏幕上就會出現上一次登錄系統的具體時間了同時我們還能看到具體是哪個用戶賬號執行登錄操作的此時我們可以根據這些狀態信息尋找具體的非法攻擊者確保計算機系統日後不會被繼續攻擊
巧用腳本記錄本次登錄時間
有的時候我們希望Windows系統能夠自動將用戶本次登錄系統的時間記憶下來然後對照自己實際的登錄時間如果它們兩者之間有明顯差別的話那就說明在自己離開計算機的那一段時間肯定有人偷偷訪問過本地計算機系統了要記錄本次登錄時間我們可以自己動手創建一個系統啟動腳本讓其自動顯示保存本次系統登錄時間之後想辦法讓Windows系統在啟動成功後自動執行那個啟動腳本就可以了下面就是具體的實現步驟
首先打開記事本之類的文本編輯程序在其中輸入下面的命令行代碼
@echo off
date /t >> d:timelog
time /t >> d:timelog
在確認上面的命令行代碼輸入無誤後依次單擊文本編輯窗口中的“文件”/“保存”命令將上面的命令代碼保存為擴展名為bat的批處理文件假設在這裡我們將該文件取名為“timebat”用鼠標雙擊該批處理文件系統當前的時間就會被記錄保存到“d:timelog”文件中了;
其次為了讓系統在登錄成功的時候自動執行“timebat”文件我們需要將該文件設置為系統啟動腳本在進行這種設置操作時我們可以依次單擊本地系統的“開始”/“運行”命令在彈出的系統運行對話框中輸入字符串命令“gpeditmsc”單擊回車鍵後打開對應系統的組策略控制台窗口;
在該控制台窗口的左側顯示區域中用鼠標逐一點選“計算機配置”/“Windows設置”/“腳本(啟動/關機)”節點選項在對應“腳本(啟動/關機)”節點選項的右側顯示區域中雙擊“啟動”項目打開屬性設置窗口
單擊該設置窗口中的“添加”按鈕從其後出現的文件選擇對話框中選中“timebat”文件並單擊“確定”按鈕將其導入到啟動腳本列表框中最後再單擊“確定”按鈕保存好上述設置操作如此一來Windows系統日後每次啟動成功後都會自動執行“timebat”批處理文件而該文件恰好可以將系統啟動成功那一刻的時間日期自動記錄保存到“d:timelog”文件中到時我們只要查看“d:timelog”文件就能看到本次登錄系統的具體時間了
巧用日志記錄每次登錄時間
Windows系統具有強大的日志記錄功能善於使用該功能我們可以讓其自動記憶每一次登錄系統的具體時間哪怕是非法攻擊者登錄本地系統失敗了Windows系統日志也能將其記錄下來在使用日志功能記錄每次登錄系統時間時我們需要按照如下步驟進行操作
首先要對系統登錄事件進行審核在默認狀態下Windows系統不會對系統登錄事件進行日志保存操作只有對該事件進行審核之後其日志功能才會自動追蹤記憶系統登錄事件;在審核系統登錄事件時我們可以依次單擊“開始”/“運行”命令在彈出的系統運行對話框中執行字符串命令 “secpolmsc”打開對應系統的本地安全策略窗口;
其次在該窗口的左側位置處依次展開“安全設置”/“本地策略” /“審核策略”分支選項從目標分支下面雙擊“審核登錄事件”選項打開設置對話框選中其中的“成功”“失敗”選項再單擊“確定”按鈕保存好上述設置操作;完成上面的設置操作後Windows系統日後就能自動記錄每次登錄系統的時間了;
如果想查看每次登錄系統的時間時我們可以直接用鼠標右鍵單擊對應系統桌面中的“計算機”圖標從右鍵菜單中點選“管理”命令打開對應系統的計算機管理窗口在該窗口的左側位置處依次選中 “系統工具”/“事件查看器”/“Windows日志”/“系統”分支選項在目標分支選項下面我們就能看到每次登錄系統的具體記錄了雙擊該記錄選項就能查看到具體的登錄時間了
From:http://tw.wingwit.com/Article/Common/201311/7611.html
