搞好服务器的入侵检测（6）
作者：雨林 来源：站长网 发布时间：2008-09-26 18:51:00
6.查看相关日志
服务器中的日志有很多类，与笔者认为与入侵检测相关首先是“安全”日志，该日志记录了用户(本地或者远程)系统的详细信息。另外，与服务器中运行的服务相关的比如DNS、IIS等也是入侵检测 * 别注意的。
运行eventvwr.msc，点击“安全性”就可以在右边看到与安全相关的日志。比如第一条日志显示LW用户在2008-6-21的12:46:23远程登陆了系统图9，如果管理员自己没有登录或者系统中本来没有该用户，那么就可以断定服务器被入侵了。(图9)
图9
服务器中的日志信息往往非常多，要对这么多的日志信息进行分析显然是不可能的，我们可以在日志记录上点右键选“属性”，在“筛选器”中设置一个日志筛选器根据自己的需要进行筛选，过滤无用的信息。如果要分析Web是否被入侵，可以打开“IIS管理器”定位到其日志文件进行查看。不过，web日志是非常多的，因此需要通过专门的工具进行分析，比如“Web Log Explorer”就是一款不错的工具，可以查看浏览者的IP及其该IP访问、下载或者修改了哪些文件等等。(图10)
图10
正因为，日志会记录入侵者的踪迹。所有狡猾的入侵者往往在入侵后会对日志进行操作，擦除入侵痕迹。常见的手段是：
(1).删掉日志。这是最低级的做法，虽然消除了日志，但也暴露了入侵者自己。如果是这样，管理员看到日志被删除可以马上断定服务器被入侵。
(2).部分删除。一些比较高明的入侵者在入侵结束后会删除日志中与自己相关的部分。如果这样，管理员可以实施对日志的监控保护，一旦发现日志有删除的痕迹就可以进行入侵检测。
(3).部分修改。这是一些高明的入侵者采用的方法，他们在入侵结束后会修改与自己相关的日志，以欺骗管理员或者嫁祸于人，金蝉脱壳。对才，管理员可以采取同上的方法，不过还要进行一定的分析。
最后，笔者以一个安全爱好者的角度建议管理员一定要备份好服务器的日志。
0
投稿猜你喜欢
步骤1：查看本地以太网属性是否安装VMware Bridge Protocol控制面板>>网络和Internet>>- 个人网站越来越多，据说现在中国个人站长已经超过了3200万。而且由于CN域名一元促销活动的推动，越来越多的网民走向了个人站长的道理。但是，网
- 前一段时间我提出了一个seo收费标准问题，seo的收费主要建立再seo优化的难易程度上，一般我们判断搜索引擎优化的难度主要根据以下几点：1、
- 前阵子在vikiworks那里看到yichi介绍用Asaph建设一个自己的FFFFound，也就是一个图片搜集博客。所以我试了一下，觉得很好
- 在一台服务器的使用上，磁盘往往占据着很重要的位置。服务器磁盘的配置和维护对整个服务器性能方面产生很大影响。实际上，优化服务器磁盘的方法只需要
- 进入：控制面板 - 卸载程序 - 打开或关闭Windows功能如果访问任何不存在页面或页面出错时空白
- 五、个性化“任务栏”和“开始”菜单在图6所示窗口的右侧，显示了“任务栏”和“开始”菜单的有关组策略配置项目。下面我们来看具体的实例： 图 6
- 小说站新手的经验，献给广大想作文学站的朋友，希望能有借鉴的作用。自从文学网站出现在互联网以来，这种新兴的文学形式很快就风靡了整个世界。网络小
- GoDaddy主机改操作系统很简单，如果发现你需要更改你的主机操作系统，可以随时进行。1. 登陆你的Account Manager.2. 在
- 背景：在用jmeter压测接口的时候发现其原生的监控起来不是很友好，在网上查阅的时候发现结合influxDB和grafana，出来的报告很炫
- 谷歌主要的收入来自搜索广告，在图片显示广告方面还是一片“处女地”。花旗集团一分析师预计说，明年，包括Youtube在内的网络资产可以为谷歌贡
- 打开文件：require/rebang.php找到以下代码：SELECT tid as id,subject&
- 今天在使用WAMP的时候发现它无法正常启动，一直卡在黄色的图标那里，我怀疑是80端口被占用了，于是在cmd里输入：netstat -ano，
- 终于，在无数充满渴望的视频制作者眼光中，在国内无数视频站饥寒交迫的等待中，在中小站长两眼发光的期待中，Google终于发布了新的AdSens
- 以Twitter为代表的微博客是今年非常火的社交网络，在国内的发展也在上半年一度非常迅猛，虽然现在大多数微博客都因为种种原因无法访问，但这并
- Win2000无论从系统运行速度还是系统安全稳定性比win98都有了很大的提高，但是它终于经不起我的折腾而不能启动了。用紧急修复盘修复后仍然
- 很多用户问Godaddy的Windows主机是否支持PHP。其实，是支持PHP，但是windows主机的php运行在安全模式，很多函数都是禁
- 进程描述进程描述符（task_struct）用来描述进程的数据结构，可以理解为进程的属性。比如进程的状态、进程的标识（PID）等，都被封装在
- 首先，祝各位中秋快乐，身体健康，国庆想旅游的玩个痛快利，想休息的就休息个够。在团队突破200人规模的时候，我和团队做出了一个重要的选择，为泡
- 百度的收录数量直接反映了一个站的内容和地位，虽然和流量没有直接的关系，但至少也是一个指数，特别是当你网站的百度收录少于100或者只有一个首页
