Auditoria é um processo de acompanhamento das ações que são executadas no computador ou através da rede, tanto ações do próprio Sistema operacional, como por exemplo a inicialização de  um serviço, quanto ações do usuário, como um logon ou um acesso a uma pasta compartilhada. Por exemplo, toda vez que o Windows XP é inicializado uma série de serviços são iniciados automaticamente, como o serviço spooler que controla a impressão. Cada um destes serviços é capaz de escrever eventos nos logs de auditoria do Windows XP. Um evento é uma mensagem que pode ser informativa, pode ser um aviso e pode ser uma mensagem de erro. Um outro exemplo, quando um usuário tenta fazer o logon e informa uma senha errada, um evento é gravado no log de segurança.

A auditoria de segurança monitora vários eventos relativos à segurança. O monitoramento de eventos do sistema é necessário para detectar invasores e tentativas de comprometer os dados do sistema. Uma tentativa de logon sem êxito é um exemplo de um evento que pode ser submetido à auditoria.

Os tipos mais comuns de eventos a serem submetidos à auditoria são:

• Acesso a objetos, como arquivos e pastas
• Gerenciamento de contas de usuários e grupos
• Quando os usuários fazem logon e logoff no sistema

Além da auditoria de eventos relacionados à segurança, um log de segurança é gerado automaticamente pelo Windows XP, oferecendo um meio para que o Administrador visualize os eventos de segurança registrados neste log. O log de segurança pode ser exibido com o console Visualizar eventos, que aprenderemos a utilizar nos próximos tópicos.

Uma mensagem no log do sistema possui informações tais como o usuário que executa a ação, a ação executada e se esta foi executada com sucesso ou não.

Também podemos configurar o log para indicar quais eventos queremos que sejam gravados, como por exemplo: tentativas de logon com sucesso, tentativas de logon sem sucesso ou ambas. Por exemplo, posso definir se toda vez que um usuário tenta acessar um determinado arquivo, sem ter a devida permissão, que seja registrado um evento no log de segurança.

Também podemos definir se acessos a arquivos, pastas e impressoras devem ser monitorados ou não. Além disso podemos definir se devem ser monitorados somente acessos bem-sucedidos ou acessos negados, tais como um usuário com permissão somente de leitura que tenta alterar um determinado arquivo em uma pasta compartilhada. 

Acessamos os logs do sistema utilizando a opção Visualizar eventos do console Gerenciamento do computador. Também podemos utilizar o console Visualizar eventos que é acessado através da opção Ferramentas administrativas, do Painel de controle. O console Visualizar eventos é configurado para carregar apenas o Snap-in para trabalhar com eventos, ao contrário do console Gerenciamento do computador, que é configurado para carregar uma série de Snap-ins, dentre eles, o Snap-in Visualizar eventos.

Por padrão existem três logs nesta opção, conforme descrito a seguir:

• Log do aplicativo: Contém erros, avisos e mensagens de informação de diversos programas que rodam no Windows XP. Por exemplo, o Microsoft SQL Server 2005 (banco de dados da Microsoft) grava uma série de eventos no log Aplicativo. O log do aplicativo contém eventos registrados por aplicativos ou programas. Por exemplo, um programa de banco de dados pode registrar um erro de arquivo no log do aplicativo. Os desenvolvedores de programa decidem quais eventos monitorar, isto é, ao desenvolver um programa, podemos definir quais eventos o programa irá gravar no log de eventos do Windows XP.
• Log de segurança: Contém informações sobre o sucesso ou não de eventos de auditoria, de acordo com definições da política de auditoria. Conforme veremos adiante, a política de auditoria define quais eventos serão monitorados. O log de segurança registra eventos como tentativas de logon válidas e inválidas, assim como eventos relacionados ao uso de recursos, como criar, abrir ou excluir arquivos ou outros objetos. Um administrador pode especificar os eventos que serão registrados no log de segurança. Por exemplo, se você ativou a auditoria de logon, as tentativas de logon no sistema serão registradas no log de segurança.
• Log do sistema: Contém erros, avisos e informações geradas pelo próprio Windows XP.  O Windows XP define quais os eventos que serão gerados e gravados neste log. O log do sistema contém eventos registrados pelos componentes de sistema do Windows XP. Por exemplo, a falha no carregamento de um driver de hardware ou de outro componente do sistema ao ser carregado durante a inicialização é registrada no log do sistema. Os tipos de evento registrados no log pelos componentes do sistema são determinados previamente pelo Windows XP.

À medida que novos serviços vão sendo instalados, novas opções vão sendo adicionadas ao Visualizador de eventos. Por exemplo, ao instalar o DNS em um servidor Windows 2000 Server ou Windows Server 2003, uma opção DNS é adicionada ao Visualizador de eventos, entrada essa que trata de eventos relacionados com o serviço de DNS. No Windows XP também pode acontecer de novas opções serem adicionadas ao Visualizador de eventos, à medida que novos serviços e aplicativos são instalados.

Cabe aqui salientar que o principal objetivo da existência de um sistema de Auditoria/Monitoramento é manter um acompanhamento de tudo o que está acontecendo no sistema. Quando algum problema acontece, como por exemplo, um serviço que deixa de funcionar, o primeiro lugar em que vamos em busca de informação é no log do sistema. Informações importantes sobre segurança podem ser encontrados no log de Segurança.

No Visualizador de eventos, podemos ter cinco tipos distintos de eventos, conforme descritos abaixo:

• Erro: Representado por um círculo vermelho com um x branco. Indica um problema sério tal como perda de dados ou de alguma funcionalidade de um serviço ou dispositivo que não está operando corretamente. Por exemplo, se um serviço falhar durante a inicialização, um evento de erro será logado.
• Aviso: Representado por um triângulo amarelo com um ponto de exclamação. Um evento que não é necessariamente um erro, mas pode representar um problema futuro. Por exemplo, quando o espaço livre em disco estiver abaixo de um determinado percentual do espaço total, um aviso será logado.
• Informações: Representado por um balão branco, com um ponto de exclamação azul dentro. Descreve uma operação de sucesso de uma aplicação, driver ou serviço. Por exemplo, quando um driver de rede é carregado com sucesso, um evento de informação é logado.  Na Figura 12.14, podemos ver uma tela onde aparecem os três tipos de eventos descritos anteriormente.

Figura 12.14 Os eventos de Erro, Aviso e Informações.

• Auditoria com êxito: Representado por uma chave amarela. Evento gravado no log Segurança. Indica o evento de um acesso com sucesso. Por exemplo, se configuramos para que fossem auditadas as tentativas de logon com sucesso, esse evento pode indicar um usuário que fez o logon com sucesso.
• Auditoria sem êxito: Representado por um cadeado amarelo. Evento gravado no log Segurança. Indica o evento de um acesso sem sucesso. Por exemplo, se configuramos para que fossem auditadas as tentativas de logon sem sucesso, esse evento pode indicar um usuário que não conseguiu efetuar o logon. Na Figura 12.15, podemos ver um exemplo dos dois tipos de eventos de segurança: Auditoria com êxito e Auditoria sem êxito.

Figura 12.15 Os eventos de Auditoria com êxito e Auditoria sem êxito.

Agora que já conhecemos os tipos de log que existem e os diferentes tipos de eventos que cada log pode apresentar, vamos aprender a abrir os logs do sistema, e ver maiores detalhes sobre um evento.

Exemplo: Visualizando eventos e detalhes dos eventos.

1.       Faça o logon como Administrador ou com uma conta do tipo Administrador do computador.

2.       Abra o Painel de controle: Iniciar -> Painel de controle.

3.       Abra a opção Ferramentas administrativas. Na janela Ferramentas administrativas abra a opção Visualizar eventos. Surgirá a janela indicada na Figura 12.16.

Figura 12.16 O console Visualizar eventos.

4.       Dê um clique na opção Aplicativo. Será exibida uma listagem com os diversos eventos gerados pelos aplicativos instalados.

5.       Dê um clique na opção Segurança. Será exibida uma listagem com os diversos eventos gerados pelas diversas opções de auditoria de segurança. Por padrão nenhum evento de segurança está configurado para ser monitorado. Nesse caso, não existirá nenhum evento gravado no log de segurança. Nos próximos tópicos aprenderemos a habilitar e configurar eventos do log de segurança.

6.       Dê um clique na opção Sistema. Será exibida uma listagem com os diversos eventos gerados pelo próprio Windows XP, conforme indicado na Figura 12.17.

Figura 12.17 Eventos gerados pelo Windows XP.

A listagem de eventos pode ser facilmente classificada de acordo com vários critérios.

Observe que existem diversas colunas de informação para cada evento. Da esquerda para a direita, temos, por padrão,  as seguintes colunas: Tipo, Data, Hora, Fonte, Categoria, Evento, Usuário e Computador.

Descrição das colunas do log do Windows XP:

• Tipo: Uma classificação da gravidade do evento: Erro, Informações ou Aviso nos logs do sistema ou do aplicativo, Auditoria com êxito ou Auditoria sem êxito no log de segurança. No modo de exibição de lista normal de Visualizar eventos, esses itens são representados por um símbolo, conforme já descrito anteriormente.
• Data: A data na qual o evento ocorreu, conforme a configuração de data/hora do sistema.
• Hora: A hora local na qual o evento ocorreu, conforme a configuração de data/hora do sistema.
• Fonte: O software que registrou o evento, que pode ser um nome de programa, como o “SQL Server,” ou um componente do sistema ou de um grande programa, como um nome de driver.
• Categoria: Uma classificação do evento definida pela fonte do evento. Essa informação é usada principalmente no log de segurança. Por exemplo, para auditorias de segurança, isso corresponde a um dos tipos de eventos para o qual a auditoria com ou sem êxito pode ser ativada na diretiva de grupo.
• Evento: Um número que identifica o tipo de evento específico. A primeira linha da descrição normalmente contém o nome do tipo de evento. Por exemplo, 6005 é a identificação do evento que ocorre quando o serviço Log de eventos é iniciado. A primeira linha da descrição de um evento é O serviço Log de eventos foi iniciado. A identificação do evento e a fonte podem ser usadas pelos representantes de suporte ao produto para solucionar problemas do sistema. No site http://support.microsoft.com você pode pesquisar maiores detalhes sobre o número associado a um determinado evento.
• Usuário: O nome de usuário em nome do qual o evento ocorreu. Este nome é a identificação de cliente se o evento foi realmente causado por um processo do servidor ou a identificação primária se a representação não estiver ocorrendo. Quando aplicável, uma entrada de log de segurança conterá as identificações primárias e de representação, ou seja, o nome de logon do usuário. A representação ocorre quando o Windows XP permite que um processo assuma os atributos de segurança de outro.
• Computador: O nome do computador onde o evento ocorreu. O nome do computador é normalmente seu próprio nome, a menos que você esteja visualizando um log de eventos em outro computador da rede.

7.       Se você clicar no cabeçalho da coluna Tipo, por exemplo, a listagem de eventos será classificada pelo tipo de evento, isto é, todos os eventos de erro juntos, todos os eventos de informação juntos e todos os eventos de aviso juntos. Além disso surge uma setinha ao lado da palavra Tipo, indicando que a listagem está classificada pela coluna Tipo, conforme indicado pela Figura 12.18. Você pode classificar a listagem, por qualquer uma das colunas, bastando para isso clicar no título da coluna.

Figura 12.18 Eventos classificados pelo tipo.

8.       Para exibir os detalhes de um evento, basta dar um clique duplo no evento. O Windows XP abre uma janela com informações detalhadas sobre o evento, qual a sua origem, causa e qual o usuário relacionado. Observe na Figura 11.19 que temos os detalhes sobre um evento de segurança do tipo Auditoria sem êxito, devido a uma falha de logon do usuário Administrador. Conforme o próprio evento informa, a causa mais provável foi uma senha digitada incorretamente.

Figura 12.19 Detalhes sobre um evento de segurança do tipo Auditoria sem êxito.

9.       Você pode configurar quais colunas de informação são exibidas para cada evento. Selecione o comando Exibir Adicionar/remover colunas. Será exibida a janela indicada na Figura 11.20, onde, por padrão, são exibidas todas as colunas.

Figura 12.20 A janela Adicionar/remover colunas.

Para remover uma coluna, marque-a na lista Colunas exibidas e clique em <- Remover. Para adicionar uma coluna, marque-a na lista Colunas disponíveis e clique em Adicionar ->. Você pode alterar a posição das colunas, marcando a coluna na lista Colunas exibidas e utilizando os botões Mover para cima e Mover para baixo.

10.     Faça as configurações desejadas e clique em OK.

11.     Feche o Visualizador de eventos.

Exercício: Abra novamente o Visualizador de eventos e navegue pelos diferentes Logs: Aplicativo, Segurança e Sistema. Dê um clique duplo sobre alguns eventos e verifique os detalhes sobre o evento. Vá para a opção Aplicativo e classifique a listagem pelo Tipo, e depois pela Data.