70、活动目录的审计、日志管理与迁移策略

活动目录的审计、日志管理与迁移策略

1. 系统锁定与故障排查

在网络系统中，一个高度锁定的系统通常是有益的，但有时也会带来困扰。例如，在学习索引服务时，在网络服务器上尝试了一周却毫无效果，而在全新系统上却能正常运行。经检查发现，原来是网络服务器被锁定得过于严格，导致索引服务无法访问任何内容。

此时，若有一个“安全监视器”，能提示因权限不足而导致程序无法运行，那将非常有用。另一种方法是进行进程跟踪，操作步骤如下：
1. 开启进程跟踪；
2. 尝试执行无法正常工作的操作；
3. 当应用程序失败时，关闭进程跟踪；
4. 查看日志，找出所需但未拥有的权限。

不过，进程跟踪会产生大量输出，且输出结果不一定清晰明了，但通常能提供解决问题的线索。

2. 网络活动审计

2.1 审计的开启方式

审计网络活动可通过在相关计算机上启用一种或多种审计类型来实现。若网络中有多台机器，可能需要为每台机器开启审计，具体取决于审计需求。例如，跟踪文件和目录更改需要启用对象审计，若要跟踪每台工作站上的文件，则需在每台工作站上开启审计。

开启审计可通过本地策略或基于域的组策略。在没有活动目录域的情况下，可使用“本地安全策略”插件来开启审计，具体操作步骤如下：
1. 点击“开始”/“管理工具”，然后选择“本地安全策略”；
2. 在左窗格中找到“安全设置”图标，其下方有“账户策略”“本地策略”“公钥策略”和“IP 安全策略”文件夹；
3. 打开“本地策略”文件夹，其中包含“审核策略”“用户权利指派”和“安全选项”三个文件夹；
4. 打开“审核策略”，可看