审核和跟踪Windows服务

吕梁

WindowsServiceAuditor软件的主页地址为：https：//www.coretechnologies.com/products/WindowsServiceAuditor/。我们可以从这里下载该软件的便携版，直接运行WindowsServiceAuditor.exe文件即可启动该软件。注意如果有用户账户控制提醒，点击“是”通过即可（图1）。

程序启动后，看到窗口的两个主要部分。上部窗格列出的是计算机上安装的每个服务，下面窗格则显示的是与上面所选服务相关联的事件列表（图2）。例如，這里我们所选择的是Microsoft Edge的更新服务，下方窗格中的所有条目是与Edge更新服务相关联的所有事件记录。

在上方窗格中选择了一个服务（例如选择酷狗音乐软件的服务），然后双击下方窗格中与之相关联的某条事件，我们便会查看到此事件的详细信息，包括是什么时间执行的，通过哪个程序执行的等等（图3）。这样，我们就可以追踪到有关系统或软件更新、软件的安装与卸载等常见事件。

在默认情况下，大多数服务事件都不会显示执行该操作的账户。这是因为Windows在默认情况下不跟踪用户信息，我们必须启用高级安全审核才能捕获该级别的详细信息。为此，需要通过软件的Service菜单，选择Enable Auditing选项，启用审核。之后，系统会提示必须更新计算机的本地审核策略，点击OK确定。开启了高级审核策略之后，当有人试图启动、停止或更新您的服务时，Windows将会捕获详细的审核事件。比如：查看Windows Update服务条目获知，管理员账户在今天下午3：28启动了Windows升级服务。