www.MegaLab.it

da **alexzappaladra** » mar set 29, 2009 4:13 pm

salve a tutti ragazzi, per una questione interna di sicurezza, dovrei comprendere se una macchina avente windows 2000 e loggata a dominio windows 2000 server ha effettuato o meno accessi in determinati orari.
Una sorta di log, magari anche indietro di qualche periodo.

In oltre, ci sono strumenti per comprendere le operazioni eseguite su questa macchina?

Purtroppo ci troviamo in una situazione di probabile violazione della privacy

Dall'event si vede che sono stati eseguiti degli aggiornamenti di avast correttamente in orari in cui la macchina sarebbe dovuta essere spena, ma non dimostrano molto (magari la segretaria ha sbagliato ed invece di spegnere a fatto "restart" e gli aggiornamenti avvengono anche in background)

vi ringrazio, come al solito!

da **Andy94** » mar set 29, 2009 4:26 pm

Purtroppo, oltre al visualizzatore eventi non credo che tu possa fare molto.
Tuttavia, già con quello puoi rilevare diverse cose (errori, messaggi, spegnimenti o riavvii)...

da **Al3x** » mar set 29, 2009 5:05 pm

devi abilitare l'auditing completo sugli accessi dal domain controller poiché non è attivo di default. Tieni conto che in questo modo però il registro si riempie rapidamente ed è necessario seguirlo con una certa regolarità
Per ciò che riguarda il pregresso, se l'auditing non era già attivo, puoi metterti l'anima in pace perché non troverai nulla nel registro degli eventi

da **zenith** » mar set 29, 2009 5:27 pm

Non si potrebbe provare con il semplice "Cerca" di Windows, in modo da far venir fuori tutti i files modificati o aperti in certe date ed orari? Puoi controllare, per ogni fascia orario un file di sistema di riferimento che si carica con Windows.
Non so se può essere utile come soluzione... attendo conferme da altri [^]

da **alexzappaladra** » gio ott 01, 2009 8:37 pm

grazie a tutti ragazzi,
Purtroppo non credo ci si possa fidare di modifiche, nel senso perché non è detto che file siano stati modificati.

Eppure un modo ci sarà pure, daltronde lo vedete anche voi cosa sta succedendo, per il discorso di stasi.
Gli esperti hanno tranquillamente ricostruito quello che è successo sul computer, se ci sono state o meno attività

da **Al3x** » gio ott 01, 2009 8:45 pm

alexzappaladra ha scritto:Gli esperti hanno tranquillamente ricostruito quello che è successo sul computer

quello mica è un lavoro che può fare chiunque, l'analisi forense richiede una preparazione tecnica molto elevata, viene fatta con appositi programmi e con metodiche ben precise.

Hai due alternative per raggiungere l'obiettivo:
- usare un programma di logging evoluto che comunque richiede una successiva interpretazione (GFIEventsManager trial version)
- installare un keylogger nel sistema, risultato garantito salvo bypassare la protezione del tuo antivirus che sicuramente non gradirà la presenza di un simile ospite