Настройка параметров журнала

Для отображения информации журнала, для установки и управления его параметрами используется программа Windows 2000 Event Viewer (Просмотр событий). Event Viewer позволяет устанавливать размер файла журнала, выбирать действие по перезаписи, включать и выключать параметр "CrashOnAuditFail". Для управления файлами журнала IIS используется консоль MMC Internet Services Manager (Диспетчер служб интернета).

Настройка размера и перезаписи файла журнала Windows 2000. Процедуры настройки размера файла журнала и параметров его перезаписи в Windows 2000 одинаковы для всех типов журнала.

Откройте программу Event Viewer (Просмотр событий) в окне Administrative Tools (Администрирование).
В левом окне консоли Event Viewer щелкните правой кнопкой мыши на записи Security Log (Журнал безопасности) и выберите Properties (Свойства). Откроется окно Security Log Properties (Свойства журнала безопасности) (см. рис. 5.2).
На вкладке General (Общие) укажите размер файла журнала в области Log Size (Размер журнала). Значением по умолчанию является 1024 Кб. Введите нужное значение в зависимости от размера диска или раздела сервера, от объема получаемого сайтом трафика. Можете в течение некоторого времени отслеживать размер файла журнала, чтобы выяснить величину этого размера.

Рис. 5.2. Настройка свойств журнала безопасности в окне Security Log (Журнал безопасности)
Определите параметр перезаписи файла посредством выбора одной из опций. Выбор опции зависит от периодичности, с которой планируется проводить архивацию данных журнала. При высоком уровне доступности сайта безопаснее всего использовать опцию Overwrite events as needed (Перезапись событий по мере надобности) и запретить заполнение журнала до отказа, так как в этом случае можно потерять данные.
Нажмите на OK после выбора опции, чтобы сохранить изменения и закрыть окно.

Сервер будет отключаться, если в локальной политике безопасности включен параметр отключения, а параметр перезаписи файла журнала установлен на значение Do not overwrite (Не осуществлять перезапись). Данная опция по умолчанию отключена.

Для активизации политики отключения при ошибках аудита используется консоль MMC Local Security Policy (Локальная политика безопасности). Ниже приведена соответствующая процедура.

Откройте консоль MMC Local Security Policy (Локальная политика безопасности) в окне Administrative Tools (Администрирование).
Разверните список в элементе Local Policies (Локальные политики) в области слева, щелкните правой кнопкой мыши на папке Security Options (Параметры безопасности) и выберите команду Open (Открыть) (либо дважды щелкните на папке, чтобы открыть ее). В правом окне средства Local Security Settings отобразятся параметры политик безопасности (см. рисунок).

увеличить изображение
Щелкните правой кнопкой мыши на параметре Shut Down System Immediately If Unable To Log Security Audits (Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности) в правом окне консоли и в контекстном меню выберите Security (Безопасность), чтобы отобразить диалоговое окно Policy Setting (Настройка политики).
В диалоговом окне Policy Setting (Настройка политики) включите политику, нажав на кнопку Enable (Включен).

Изменение параметров файла журнала IIS. Параметры файла журнала IIS аналогичны параметрам файла журнала Windows 2000, но осуществляют управление несколько иным образом. Параметры файла журнала IIS можно установить глобально для всех веб-сайтов на сервере либо отдельно для каждого сайта. Ниже приведены действия по установке параметров файла журнала IIS.

Откройте консоль Internet Services Manager (Диспетчер служб интернета) в окне Administration Tools (Администрирование).
При глобальной настройке параметров для всех сайтов выберите в окне имя сервера. В противном случае укажите в области слева конкретный веб-сайт.

Откройте вкладку Extended Properties (Расширенные параметры), показанную ниже, чтобы отобразить доступные параметры. Указанные Microsoft настройки по умолчанию, настройки IIS Lockdown достаточно всесторонни, однако в зависимости от ситуации можно отследить дополнительную информацию.

В таблице 5.3 приведен полный перечень расширенных параметров ведения журнала.

Таблица 5.3. Расширенные параметры файла журналаПолеВидОписание

Дата	date	Дата события.
Время	time	Время события.
IP-адрес клиента	c-ip	IP-адрес клиента, осуществившего доступ к серверу.
Имя пользователя	c-username	Имя авторизованного пользователя, осуществившего доступ к серверу, исключая анонимных пользователей, представляемых в виде дефиса.
Имя службы и номер события	s-sitename	Номер службы интернета и события, выполнявшиеся на компьютере-клиенте.
Имя сервера	s-computername	Имя сервера, на котором создана запись журнала.
IP-адрес сервера	s-ip	IP-адрес сервера, на котором создана запись журнала.
Метод	cs-method	Действие, выполняемое клиентом (например, метод GET).
Ресурс URI	cs-uri-stem	Ресурс, к которому осуществлялся доступ.
Запрос URI	cs-uri-query	Запрос (если есть), выполняемый клиентом.
Состояние HTTP	sc-status	Состояние действия в терминах HTTP.
Состояние Win32	sc-win32-status	Состояние действия в терминах Windows 2000.
Байт отправлено	sc-bytes	Число байт, отправленное сервером.
Байт принято	cs-bytes	Число байт, полученное сервером.
Порт сервера	s-port	Номер порта, к которому подключен клиент.
Затрачено времени	Time-taken	Промежуток времени, который заняло действие.
Версия протокола	cs-protocol	Версия протокола (HTTP, FTP), используемая по умолчанию клиентом. В случае с HTTP - HTTP1.0 или HTTP 1.1.
Агент пользователя	cs(User-Agent)	Браузер, работающий на клиенте.
Cookie	cs(Cookie)	Содержимое, отправленное или принятое элементом cookie, если таковое имеется.
Предыдущий сайт	cs(Referer)	Предыдущий сайт, который посетил пользователь. Данный сайт содержит ссылку на текущий сайт.

Содержание раздела