Компьютерная криминалистика

КОМПЬЮТЕРНАЯ КРИМИНАЛИСТИКА48− создавать подписки на события и управлять ими;− назначать выполнение конкретных действий на возникнове-ние определенного события.В операционных системах семейства Windows существуют две категории журналов событий: журналы Windows и журналы приложений и служб. Журналы Windows пользуются операционной системой для регистрации общесистемных событий, связанных с работой при-ложений, системных компонентов, безопасностью и запуском. А журналы приложений и служб – используются приложениями и службами для регистрации событий, связанных с их работой. Для управления журналами событий можно использовать оснастку «Просмотр событий».В журнал «Безопасность» записываются события о входе и выходе из Windows и фиксирование доступа к ресурсам. То есть, если пользователь не туда полез это скорее всего запишется в событии.Журнал «Система» − записываются системные события. На-пример, сетевые оповещения или сообщения обновления анти-вируса Microsoft Antimalware.Работа с журналами заключается в сортировке, группировке, очистке журналов и создании настраиваемых представлений для удобства нахождения тех или иных событий.Существует несколько свойств событий оснастки «Просмотр событий», которые подробно описаны ниже.Источник – это программа, зарегистрировавшая событие в журнале. Это может быть как имя программы, так и название компонента системы или большого приложения (например, имя драйвера). Например, «Elnkii» означает драйвер EtherLink II.Код события – это число, определяющее конкретный тип со-бытия. В первой строке описания обычно содержится название типа события. Например, 6005 – это идентификатор события, ко-торое происходит при запуске службы ведения журналов собы-тий. Соответственно, в начале описания этого события находится строка «Запущена служба журнала событий». Код события и имя источника записи могут использоваться представителями группы поддержки программного продукта для устранения неполадок.Уровень – это урове...