Основы выживания в локальной сети

Xakep, номер #034, стр. 034-042-6

Данная консоль должна запускаться с привилегиями администратора удаленного компьютера. При помощи этого инструмента можно так отадминистрировать удаленную машину, что ей дурно станет :). Полностью отключать аудит не рекомендую - это будет заметно, но уменьшить размеры лога - запросто. А потом в аудите нужно ВКЛЮЧИТЬ все что можно, следы будут очень быстро затираться :). Если ты нагадил на серваке в субботу, в понедельник следов может уже и не быть. Политика в отношении отключения либо, наоборот, включения аудита зависит от администратора удаленного компьютера. Если это Марья Ивановна, 54-летний бухгалтер, можно отключать. Она точно не знает, что это такое.

Так как система постоянно пишет сюда всякую чушь, максимум через сутки следов присутствия не останется.

Глюк

В NT 4.0 eventlog НЕ ПИШЕТ твоего IP, имей это в виду! Он пишет нетбиос имя машины. А кто тебе мешает тачку-то переименовать после славных дел :). Хрен админ когда найдет, где она стоит :). Без шуток (правда, потом нужно будет снова авторизоваться в домене). Если домен стоит на W2k, то дело, в общем, тухлое. Эта скотина пишет в логи и IP, и все остальное, плюс даже различает, когда ты в пароле или логине ошибся, а когда вообще от балды набрал! Тут остается уповать на тупого админа и вознести молитву его неуемной лени :). А также скорости миграции на W2k.

Баю бай

Ну как, загрузил я тебя? Переваривай. А в следующий раз мы поговорим о настройках безопасности твоей любимой W2k :).

P.S. Кстати, а ты давно заглядывал в eventlog СВОЕЙ машины? :)