Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

In welchen Log Files kann ich sehen ob versucht worden ist auf unseren Server zuzugreifen?

Frage Sicherheit Erkennung und -Abwehr

Mitglied: Chris71

Chris71 (Level 1) - Jetzt verbinden

28.08.2007, aktualisiert 02.01.2009, 5293 Aufrufe, 10 Kommentare

Hallo Zusammen

Wir befürchten, dass sich jemand an unserem Server zuschafen gemacht hat, jemand der ev. auch die richtigen Passwörter und so hat.

Wo und wie sehe ich, ob und wann sich jemand auf dem server eingeloggt hat?

Wir haben einen Server mit
W2K
Remote Administrator 2.2
Terminalserver

Ich denke es wurde über Remote Administrator oder Terminalserver probiert. Wo finde ich da die Logs oder wo sehe ich wer sich wann eingeloggt hatte?

Bin dankbar für jeden Tipp!

Vielen Dank

gruss v.
Chris
Mitglied: RedBullmachtfit
28.08.2007 um 13:40 Uhr
Hallo! Such mal in den Log-Files von eurem Router. Wenn jemand von extern z.B. per VPN darauf zugegriffen hat, wird dies oft in diesen Log-Files angezeigt.
Gruß
Bitte warten ..
Mitglied: Chris71
28.08.2007 um 13:47 Uhr
Hallo, vielen Dank für Deine rasche Antwort.

In unserem ZyWall 5 war bei den Log was falsch eingestellt und die daten wurden nur für einen Tag gespeichert. Leider habe ich das Log von dem besagten Tag nicht mehr.

Vielen Dank

Guss v.
Chris
Bitte warten ..
Mitglied: Egbert
28.08.2007 um 13:48 Uhr
Hallo Chris,

die logon/logoff Events kannst Du im Sicherheits log des Eventviewers sehen.

start --> ausführen --> eventvwr.exe dann Sicherheit.

Ich glaube bei Windows 2000 war das Event 528 für logon und 529 für logoff


Um auch alle Privilegien zu loggen muß folgender Reg Key gesetzt werden

Hive: HKEY_LOCAL_MACHINE\SYSTEM
Key: System\CurrentControlSet\Control\Lsa
Name: FullPrivilegeAuditing
Type: REG_BINARY
Value: 1

Gruß
Egbert
Bitte warten ..
Mitglied: Egbert
28.08.2007 um 13:50 Uhr
noch was vergessen.

der radmin schreibt eigene logfiles (ich glaube wenn eingeschaltet).
Ausserdem sperren sich RDP und Radmin gegenseitig aus. Wenn Du einmal eine RDP Session gemacht hast kannst Du nicht mehr mit Radmin ran.

Gruß
Egbert
Bitte warten ..
Mitglied: Chris71
28.08.2007 um 14:02 Uhr
Hallo Egbert

Vielen Dank für Deine Info. Den Eintrag habe ich hinzugefügt.

Im Protokel Sicherheit habe ich nur einen Eintrag:
Erfolgsüberwachung vom 4.4.2003

Das ist alles....

Ich hoffe das ist ein gutes Zeichen

gruss v.
Chris
Bitte warten ..
Mitglied: Egbert
28.08.2007 um 14:28 Uhr
Hallo Chris,

das muss nicht unbedingt ein gutes Zeichen sein.
Ich gehe davon aus das das Auditing bei Dir aus ist.

Du mußt das noch einschalten über eine Policy.

Activating the logging of Logon/Logoff
In the Administrative Tools start Local Security Policy
Open Local Policy and then select Audit Policy
Double click Audit logon events and select the checkbox for Success and Failure
Bitte warten ..
Mitglied: Chris71
28.08.2007 um 14:58 Uhr
Hallo Egberg

OK, die waren alle Ausgeschaltet. Ich habe Sie jetzt aktiviert.

Jetzt steht:
Lokal Effektive
Anmeldeversuche überwachen Erfolgreich/Fehlgeschlagen kein Überwachung

Stimmt das so ?

Gruss v.
Chris
Bitte warten ..
Mitglied: Egbert
28.08.2007 um 17:31 Uhr
auf Überwachung stellen natürlich
Bitte warten ..
Mitglied: Chris71
29.08.2007 um 09:02 Uhr
Hallo Egberd

Vielen Dank für Deine Hilfe. es funktioniert nun so wie es sollte.
Hoffe nun, dass nächste mal, merke ich es wenn es nochmals versucht wird.

Gruss v.
Chris
Bitte warten ..
Mitglied: Kasima
14.03.2008 um 12:49 Uhr
Sorry Leute, aber das ist doch alles Pillepalle. Wenn jemand den Server ernsthaft hackt, dann wird er natürlich versuchen, an diesen Schnittstellen vorbei auf die interessanten Daten zuzugreifen und statt dessen lieber Sicherheitslücken einzelner Netzwerkkomponenten oder in den Protokollstacks suchen und ausnutzen.

Das was ihr da so protokollieren wollt, würde vielleicht Hinweise auf einen unberechtigten Zugriff von Innen liefern. Richtige Einbrüche von draussen stehen in diesen Logs aber sowieso niemals drin, die passieren auf einer ganz anderen Ebene.

Um da überhaupt was zu bemerken, müsste man nicht nur eine geeignete Firewall mit Stateful Inspection haben, deren Logging müsste entsprechend ausführlich eingestellt sein und außerdem müsste man noch jemanden haben, der überhaupt in der Lage ist, aus diesen riesigen Protokollen herauszufiltern, was denn davon überhaupt verdächtig ist und was nicht.

Und selbst wenn man das alles hat und zusätzlich noch jedes einzelne Datenpaket mit einem Packetsniffer mitschneidet heisst das noch lange nicht, dass man einen erfolgreichen Einbruch überhaupt bemerken würde.

Letzlich muss man nicht nur regelmäßige Passwortwechsel mit einer Policy erzwingen, sondern natürlich auch beim leisesten Verdacht einer Kompromittierung. Denn es geht ja letztlich darum, Schlimmeres zu verhindern - was bereits geklaut oder gelöscht ist, macht man durch nachträgliches Durchforsten der Logfiles sowieso nicht mehr ungeschehen. Das kann ja nur noch dem Staatsanwalt dienen.
Bitte warten ..
Neuester Wissensbeitrag
Humor (lol)

Linkliste für Adventskalender

(3)

Information von nikoatit zum Thema Humor (lol) ...

Ähnliche Inhalte
Java
Log-Files für Testzwecke generieren oder downloaden (11)

Frage von Bruchsal zum Thema Java ...

Windows Server
gelöst Sehen wer einen Server herunter fährt (9)

Frage von NoobNerd zum Thema Windows Server ...

Windows Server
gelöst Lösche Profile Files von Usern unter Windows Server 2008 (4)

Frage von guenti8 zum Thema Windows Server ...

Heiß diskutierte Inhalte
Windows Server
DHCP Server switchen (25)

Frage von M.Marz zum Thema Windows Server ...

SAN, NAS, DAS
gelöst HP-Proliant Microserver Betriebssystem (14)

Frage von Yannosch zum Thema SAN, NAS, DAS ...

Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

Windows 7
Verteillösung für IT-Raum benötigt (12)

Frage von TheM-Man zum Thema Windows 7 ...