Unix的入侵追蹤 (2)

戶所訪問(wèn)的內(nèi)容，當(dāng)然，也包括入侵者的訪問(wèn)內(nèi)容。以最常用的squid代理為例，通常你可以在/usr/local/squid/logs/下找到access.log 這個(gè)龐大的日志文件，當(dāng)然，由于日志記錄添加得很快，在安全事故后應(yīng)該及時(shí)備份它。你可以在以下地址獲得squid的日志分析腳本:http://www.squid-cache.org/Doc/Users-Guide/added/stats.html通過(guò)對(duì)敏感文件訪問(wèn)日志的分析，可以知道何人在何時(shí)訪問(wèn)了這些本該保密的內(nèi)容。

    8.路由器日志

    默認(rèn)方式下路由器不會(huì)記錄任何掃描和登錄，因此入侵者常用它做跳板來(lái)進(jìn)行攻擊。如果你的企業(yè)網(wǎng)被劃分為軍事區(qū)和非軍事區(qū)的話，添加路由器的日志記錄將有助于日后追蹤入侵者。更重要的是，對(duì)于管理員來(lái)說(shuō)，這樣的設(shè)置能確定攻擊者到底是內(nèi)賊還是外盜。當(dāng)然，你需要額外的一臺(tái)服務(wù)器來(lái)放置router.log文件。

    在CISCO路由器上:

    router(config)# logging faclity syslog

    router(config)# logging trap informational

    router(config)# logging [服務(wù)器名]

    在log server上：

    I.在/etc/syslog.conf中加入一行:

    *.info /var/log/router.log

    II.生成文件日志文件：

    touch /var/log/router.log

    III.重起syslogd進(jìn)程:

    kill -HUP `cat /var/run/syslogd.pid`

    對(duì)于入侵者來(lái)說(shuō)，在實(shí)施攻擊的整個(gè)過(guò)程中不與目標(biāo)機(jī)試圖建立tcp連接是不太可能的，這里有許多入侵者主觀和客觀的原因， 而且在實(shí)施攻擊中不留下日志也是相當(dāng)困難的。如果我們花上足夠的時(shí)間和精力，是可以從大量的日志中分析出我們希望的信息。 就入侵者的行為心理而言，他們?cè)谀繕?biāo)機(jī)上取得的權(quán)限越大，他們就越傾向于保守的方式來(lái)建立與目標(biāo)機(jī)的連接 。仔細(xì)分析早期的日志，尤其是包含有掃描的部分，我們能有更大的收獲。

    日志審計(jì)只是作為入侵后的被動(dòng)防御手段。主動(dòng)的是加強(qiáng)自身的學(xué)習(xí)，及時(shí)升級(jí)或更新系統(tǒng)。做到有備無(wú)患才是最有效的防止入侵的方法。

億恩科技地址(ADD)：鄭州市黃河路129號(hào)天一大廈608室 郵編(ZIP)：450008 傳真(FAX)：0371-60123888
   聯(lián)系：億恩小凡
   QQ：89317007
   電話:0371-63322206

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]