Hướng dẫn

Kiểm toán dịch vụ Windows

Một cuộc kiểm toán không phải danh sách những gì có trên máy. Nó là hiệu giữa những gì có trên máy và những gì lẽ ra phải có - và không có gì trên một Windows nguyên bản ghi lại nửa thứ hai.

Ba câu hỏi, và điều gì trả lời chúng

Điều gì đã thay đổi kể từ khi máy này được dựng?

Một bản chụp lấy lúc triển khai, và một phép so sánh với máy tối nay. Cấu hình được báo riêng với những gì chỉ vừa khởi động hoặc dừng, nên một kiểu khởi động ai đó đã đổi không bị chôn dưới bốn mươi dịch vụ tình cờ đang chạy.

bws snapshot diff baseline.json --live

Vì sao môi trường thử nghiệm khác môi trường sản xuất?

Chụp một bản trên mỗi môi trường và so sánh hai tệp - ở bất cứ đâu, không cần máy nào có mặt. Các tệp mang tên máy và tài khoản đã chụp chúng.

bws snapshot diff staging.json production.json

Có gì ở đây mà lẽ ra không nên có?

Các truy vấn tìm ra những dạng đáng xem: một dịch vụ có tệp thực thi đã mất, một dịch vụ chưa ký, một dịch vụ đang chạy dù bị vô hiệu hóa, một dịch vụ yêu cầu quyền gỡ lỗi.

file:missing, signed:no, mismatch:running

Dạng chạy hằng đêm

# ngày máy bắt đầu đưa vào hoạt động
bws snapshot create C:\baselines\web01.json --note "after the build"

# mỗi đêm, từ một tác vụ theo lịch
bws snapshot diff C:\baselines\web01.json --live --exit-code --json > C:\logs\drift.json
#   0 - không có sai lệch cấu hình
#   5 - cấu hình đã lệch, và drift.json nói là gì
#   3 - đã chạy và không đọc được hết, nên câu trả lời chỉ là một phần

Mã thoát 5 là điều biến việc này thành một cuộc kiểm toán thay vì một báo cáo không ai đọc: tác vụ im lặng cho đến khi máy lệch, và vào đêm nó lệch, có người được gọi.

Lấy mốc chuẩn từ một phiên nâng quyền. Khi không có quyền quản trị, trình quản lý liệt kê ít mục hơn và từ chối nhiều hơn những gì nó liệt kê. Bản chụp ghi lại tài khoản đã chụp nó có phải quản trị viên không, nên phép so sánh có thể nói điều đó thay vì báo các mục là bị xóa trong khi không ai xóa - nhưng một mốc chuẩn thiếu nửa cái máy vẫn là một mốc chuẩn thiếu nửa cái máy.

Một bản chụp đáng giá bao nhiêu làm bằng chứng

Nó là JSON với một trường mỗi dòng, nên có thể đưa vào kho mã và git diff đọc được nó. Một kiểm toán viên không có công cụ này vẫn đọc được tệp, và một hệ thống quản lý phiên bản đã trả lời được câu khi nào.
Nó chứa những gì snap-in chưa bao giờ hiển thị: đường dẫn khởi chạy và đối số, mã băm và người ký của tệp, các phụ thuộc cả hai chiều, trình kích hoạt, đặc quyền yêu cầu, kiểu SID và bộ mô tả bảo mật.
Nó nói những gì nó không đọc được. Một trường mà phiên này không có quyền được ghi là chưa đọc - không bao giờ là trống - để một phép so sánh sau này có thể nói not compared thay vì lặng lẽ coi nó là không đổi.
Nó là mô tả của cả máy. Hãy lưu trữ cho phù hợp: nó được ghi với quyền mà thư mục của nó vốn có, và công cụ không thu hẹp gì.

Bản chụp và phép so sánh hoạt động ra sao