Newsgroup: it.comp.sicurezza.windows
Titolo: Re: Sapere se il mio pc viene usato da terzi in mia assenza

 utilizzato?
gli eventi si possono cancellare..

gli eventi si possono cancellare..
Solo completamente, mi sembra: il singolo evento (
p.es
. attivazione
della connessione di accesso remoto) non puo' essere ne' modificato
ne' cancellato singolarmente, almeno non dal Visualizzatore Eventi. Se
tu trovassi che gli Eventi sono stati del tutto cancellati o perlomeno
riavviati da zero, avresti almeno la certezza che qualcun altro ha
utilizzato il comp, anche se non sapresti cosa ha fatto :-(
Tramite gpedit.msc si possono impostare ulteriori monitoraggi/rapporti
di eventi; inoltre dovrebbe essere possibile impostare una policy
volta ad evitare che l'utente non amministratore non possa
visualizzare l'Event Viewer (su quest'ultima non sono molto sicuro,
magari controllo)

 ne' cancellato singolarmente, almeno non dal Visualizzatore Eventi.
si però gli eventi sono loggati in un file che si può editare manualmente e 
quindi, volendo, si possono cancellare eventi *mirati*

Giusto?
Infatti: se vedi 
p.es
. che esistono pochissimi eventi e per giunta
risalenti a pochi giorni fa o addirittura a oggi, ne sarai sicuro. 
Iil registro degli eventi Sistema puo' arrivare anche a due mesi fa
(perche' gli eventi di sistema, come accesso a Windows, avvio
connessione di accesso remoto, attivazione scheda di rete, ecc..) sono
ovviamente numerosi. Al contrario il registro Applicazioni puo'
arrivare anche a 6 mesi.
Per aumentare lo spazio di 'registrazione' puoi settare una dimensione
specifica per ogni registro Eventi nelle impostazioni (pulsante dx sul
Registro scelto).

quindi, volendo, si possono cancellare eventi *mirati*
E come? Conosci un editor di file .evt che possa superare il controllo
del sistema in corso e modificare il contenuto del file? 
Accedendo alle API tramite programmazione sarebbe forse possibile
aggiungere eventi, ma non so se sarebbe possibile modificarli (e a
questo punto il violatore dovrebbe cercare qualcuno che se ne intenda
o capirne lui quanto basta, e in questo caso...). 

nella stessa cartella ma mi crea una nuova cartella.
Infatti con quel sistema e' solo possibile visualizzare file di
registro creati precedentemente, magari per un raffronto con quelli
attuali, analisi storiche, ecc..

modificare e cancellare eventi singoli. Giusto?
E' cosi': l'unico modo e' una cancellazione o una sostituzione in
blocco.

eventi
De nada :-)

 blocco.
Infatti, chi si vuol divertire con qualche macchina, prima fa una
copia del registro eventi con un cd live, fa i suoi porci comodi,
e poi rimette la copia al suo posto, cosi' sembra che non ci sia
stata nessuna accensione indebita.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

stata nessuna accensione indebita.
Purtroppo...Bart's PE Builder offre un'ottima possibilita' in tal
senso: con un bel cd live in ambiente Xp minimale fai cio' che vuoi.
Senza contare le distro Linux live con ntfs-3g incorporato...
:-(


L'equazione e' sempre quella:
(accesso fisico al sistema) = (sicurezza a donnine allegre).


 assenza il pc viene utilizzato?
Forse un keylogger fisico potrebbe aiutare.
SE non si accorgono che c'è, lui registra tutto ciò che vien digitato da
tastiera.
My 2 eurocent
Ciao
-- 
Norbert il COBOLdo                
www.mandos.it
E anche adesso una parte di me
sorvola Dresda a quota 1 5 
(Pink Floyd)

 assenza il pc viene utilizzato?
Penso proprio di no, ma considera seriamente l'ipotesi di creare una 
partizione criptata dove salvare i tuoi dati (compreso tutto il software 
in versione portable come faccio io) o addirittura di criptare tutto il 
S.O. (cosa questa piuttosto complicata). Cosě i malintenzionati si 
"attaccano".
Ovviamente resta il problema dell' uso fisico del PC: questo ovviamente 
se non ci sei non lo puoi impedire nč verificare...
Ciao
..::bLUr::..