/windows目录/ proc目录

Question

我和我的朋友正在做一个关于HIDS（基于主机的入侵检测系统）的重要项目。我想我知道分析所需的信息来源，但我不知道如何得到它们。这些是系统日志，内存使用情况，进程列表，守护进程状态，服务状态，内核模块等。我想我可以得到系统日志，但其他人我不知道如何。 我知道在linux中有一个/ proc目录，但是我应该怎么做windows？ 谢谢..我绝望让我的项目开始..

Answer 1

我不确定在Python中，但有Windows API函数来获取所有的信息。对于内存使用情况，您可以使用performance counters。处理列表可以通过EnumProcesses函数获得。守护进程的状态和服务状态有点意味着在Windows中同样的事情，可从service functions。

Answer 2

通常，在Windows上看不到一个地方。您可能可以使用cygwin来查找一些信息。

• 系统日志在事件查看器中采用XML格式。见eventquery.vbs和eventtriggers.exe这可能会有所帮助。
• netstat会发现任何网络信息

您的最完整的单一来源最好的选择是Windows管理规范（WMI）查询，它使用类似于SQL语言，可以查询各种系统信息。 Wikipedia article有很多链接到资源。