记录执行某些操作的工作站的最佳做法

Question

我看到有太多人遇到了他们不应该拥有的密码。因此，我想记录命令所在的站点以及当时登录的人员。记录机器标识的最佳方法是什么？我在想MAC地址，除了机器上可以有多个这样的地址。由于DHCP，IP无法正常工作。

我应该录制什么以确保将来可以识别机器？

Answer 1

您的问题是MAC地址可能被欺骗。

如果您使用802.1X身份验证，则不再是此问题。如果你使用dot-1X或者你不关心MAC欺骗，那么你需要记录四件事：

• 访问的IP地址
• 访问时间
• 您的DHCP日志，列出
时分配给哪个MAC地址的IP地址
时登录到哪台计算机的用户

通过这四条信息以及将MAC映射到计算机的列表，您可以确定哪个用户已登录到执行机器。

注意：为避免IP欺骗，您还必须使用DHCP侦听和IP Source Guard来阻止用户自己提供静态IP地址。

第二个NB：这是在假设连接到网络的所有设备都是公司设备的情况下运行的。如果不是这样，我建议从交换机读取并记录IP到端口映射，并记录它们。这样你就可以知道计算机的实际位置。