Spam Atack!

[Popov]

@Luckie

Im Grunde hast du Recht. Zwar kenne ich die Regel nicht (ich kenn nicht alles), aber warum nicht, im Grunde ein gute Idee. Aber das ist ein Laptop und ich weiß, dass die Bekannte fast nie das Gerät abschaltet. Sie macht einfach nur die Klappe zu. Ich kenne mich mit Laptops weniger aus, aber vermutlich ist das die Standby Funktion, bzw. Energie sparen, bzw. Ruhezustand. Und ich weiß nicht ob das auch protokolliert wird.

[Popov]

Ich hab mir gerade paar Gedanken gemacht wie ich die Computerzeiten loggen soll. Eine Möglichkeit ist natürlich den Start und das Ende von der Windowssitzung oder des Programms zu loggen. Hier besteht aber die Möglichkeit, dass der PC abstürzt oder sonstiges, so dass das Ende der Sitzung nicht erfasst wird.

Was mir gerade eingefallen ist, das ich für jede Minute - in der der PC an ist - in einer Zahl einfach ein Bit setze. Eine Stunde hat 60 Minuten, ein Int64 hat 64 Bits, passt. Für jede Minute wird ein Bit gesetzt, für jede Stunde ein neue Zahl genommen. Macht bei einer Ini pro Tag max. 25 Zeilen.

So stelle ich mir das in etwa vor (ohne den Bit-String, der ist nur für den Test):

Delphi-Quellcode:

function BitAtPos(APos: Byte): Int64;
begin
  Result := 0;
  if APos <= (SizeOf(Int64) * 8) then
    Result := Int64(1) shl (APos - 1);
end;

//Nur für den Test
function IntToBin(Int: Int64): String;
const
  b: array[Boolean] of Char = ('0', '1');
var
  i: Integer;
begin
  Result := '';
  for i := 1 to (SizeOf(Int64) * 8) do
    Result := b[(Int and BitAtPos(i)) > 0] + Result;
end;

var
  LastMinute: Word = 0;
  HourLog: Int64 = 0;

procedure TForm1.Timer1Timer(Sender: TObject);
begin
  if MinuteOf(Now) <> LastMinute then
  begin
    (*hier HourLog aus Ini laden*)
    HourLog := HourLog or BitAtPos(MinuteOf(Now));
    (*hier HourLog in Ini speichern*)
  end;

  //Anzeige nur für den Test
  Caption := IntToBin(HourLog) + ' - ' + IntToStr(HourLog);
end;

Hat jemand eine bessere Idee wie man Zeiten in denen der PC an ist loggen kann? Bin für Ideen offen.

[Luckie]

Aus dem Kopf weiß ich das jetzt auch nicht. Und Bei mir, Windows 7 Home, ist der Gruppenrichtlinieneditor auch nicht vorhanden.

Habs. Windows 7 Home. Wird alles mitprotokolliert. Das System Eventlog filtern nach der Quelle "Kernel-General" und den Event-IDs 12 und 13.
ID 13: Das Betriebssystem wird zur Systemzeit ‎2015‎-‎04‎-‎05T10:33:50.609886600Z heruntergefahren.
ID 12: Das Betriebssystem wurde zur Systemzeit ‎2015‎-‎04‎-‎05T12:37:01.125599400Z gestartet.
Achtung, das sind UTC Zeitangaben! Ich habe also vorhin den Rechner um halb eins ausgemacht und eben um 20 vor drei wieder eingeschaltet.
Wenn du noch als Quelle Winlogon dazu nimmst, bekommst du noch mit wann sich der Benutzer dann wirklich angemeldet hat.

[Luckie]

Warum so kompliziert. Leg ein Programm in den Autostart, welches, wenn es gestartet wird, einfach Datum und Uhrzeit in eine Datei schreibt. Und das selbe tut, wenn sich der Benutzer abmeldet (WM_QUERYENDSESSION). Aber wie gesagt. Eigentlich überflüssig. Siehe meinen vorherigen Beitrag.

[Popov]

Zu #23: ich guck mir das an, es muss nicht komplizierter sein als es sein muss. Die Bekannte hat auch Windows 7, somit kein Problem. Wo ich gerade bin arbeite ich an Windows XP.

Zu #24: wie gesagt, Start und Ende loggen ist ok, aber ich will auch die Standby Zeiten loggen und auch abstürze, wo das System nicht ordnungsgemäß heruntergefahren wird. Ich guck mir den oberen Tipp und die Möglichkeiten nochmal genauer an. Und wenn es alles loggt, dann werde ich es nehmen.

[Luckie]

Na ja, das System ist abgestürzt oder nicht ordnungsgemäß runter gefahren worden, wenn der Abmeldeeintrag in der Datei fehlt.

Und hier: http://www.delphipraxis.net/103632-r...-abfragen.html

[vagtler]

Für mich hört sich das an, als ob da mal jemand mit entsprechendem forensischen Sachverstand eingeschaltet werden sollte.

[mm1256]

Zitat von Popov:

Zu #23: ich guck mir das an, es muss nicht komplizierter sein als es sein muss. Die Bekannte hat auch Windows 7, somit kein Problem. Wo ich gerade bin arbeite ich an Windows XP.

Dann lass dir doch vom Provider Datum/Zeit geben, wann die Spam-Mails versandt wurden, und vergleiche die Zeiten mit denen der Ereignisanzeige. Da steht doch auch alles drin. Wenn zu dem Zeitpunkt der PC gar nicht eingeschaltet war, bist du schon am Ziel.

Abgesehen davon: Die Ereignisanzeige ist auch im Streitfall beweiskräftiger als ein selbstgestricktes Programm.

[Popov]

Nur wie gesagt, die Bekannte macht den Laptop am Montag an und Sonntag aus. Dazwischen ist er aber 95% der Zeit Standby. Das ist um was es mir geht. Wie gesagt, dass muss ich mir genauer angucken.

[jaenicke]

Zitat von Popov:

Aber das ist ein Laptop und ich weiß, dass die Bekannte fast nie das Gerät abschaltet. Sie macht einfach nur die Klappe zu. Ich kenne mich mit Laptops weniger aus, aber vermutlich ist das die Standby Funktion, bzw. Energie sparen, bzw. Ruhezustand. Und ich weiß nicht ob das auch protokolliert wird.

Du könntest einfach mal Norton Internet Security als Trial installieren. Das protokolliert die Zeiten inklusive RAM- und CPU-Auslastung usw. (abgesehen davon, dass ich damit auch deutlich belastbarere Ergebnisse hinsichtlich eines Virenbefalls erwarten würde als ausgerechnet von McAfee...).

Rein anhand dieser Daten konnte ich auf einem PC einer Bekannten schon einmal einen Virus identifizieren. Der hat nämlich manchmal den PC relativ stark ausgelastet, so dass sie bemerkt hat, dass ein Spiel plötzlich geruckelt hat, das ansonsten sauber lief. Norton hat dann angezeigt welche Exe die Auslastung verursacht hat (einfach im Verlaufsdiagramm mit der Maus hovern, da wird die Exe mit der höchsten Auslastung angezeigt) und da die sehr ähnlich wie eine Datei des Betriebssystems hieß, gepackt war und (im entpackten Zustand im Hexeditor) verdächtige Hostnamen enthielt, lag die Vermutung nahe, dass es ein Virus war.
(Seit der Meldung an ein paar Hersteller von Virenscannern wird der Virus mittlerweile auch erkannt.)

Lässt sich im Router vielleicht ein Mac-Adressenfilter eintragen? Das ist ein recht wirksamer Schutz gegen Eindringlinge ins W-LAN.