入侵監(jiān)測(cè)：如何查看系統(tǒng)記錄以及追蹤入侵者

　　在局域網(wǎng)絡(luò)上可能你聽(tīng)過(guò)所謂“廣播模式”的資料發(fā)送方法，此種方法不指定收信站，只要和此網(wǎng)絡(luò)連結(jié)的所有網(wǎng)絡(luò)設(shè)備皆為收信對(duì)象。但是這僅僅在局域網(wǎng)絡(luò)上能夠?qū)嵭?因?yàn)榫钟蚓W(wǎng)絡(luò)上的機(jī)器不多(和Internet比起來(lái) )。如果象是Internet上有數(shù)千萬(wàn)的主機(jī),本就不可能實(shí)施資料廣播(至于IP Multicast算是一種限定式廣播Restricted Broadcast,唯有被指定的機(jī)器會(huì)收到,Internet上其他電腦還是不會(huì)收到)。假設(shè)Internet上可以實(shí)施非限定廣播，那隨便一個(gè)人發(fā)出廣播 訊息，全世界的電腦皆受其影響，豈不世界大亂？因此,任何局域網(wǎng)絡(luò)內(nèi)的路由器或是類(lèi)似網(wǎng)絡(luò)設(shè)備都不會(huì)將自己區(qū)域網(wǎng)絡(luò)內(nèi)的廣播訊息轉(zhuǎn)送出去。萬(wàn)一在WAN Port收到廣播訊息，也不會(huì)轉(zhuǎn)進(jìn)自己的LAN Port中。

　　而既然網(wǎng)絡(luò)皆有發(fā)信站與收信站，用以標(biāo)示信息發(fā)送者與信息接收者，除非對(duì)方使用一些特殊的封包封裝方式或是使用防火墻對(duì)外連線，那么只要有人和你的主機(jī)進(jìn)行通訊(寄信或是telnet、ftp過(guò)來(lái)都算) 你就應(yīng)該會(huì)知道 對(duì)方的位址，如果對(duì)方用了防火墻來(lái)和你通訊，你最少也能夠知道防火墻的位置。也正因?yàn)橹灰�有人和你連線，你就能知道對(duì)方的位址，那么要不要知道對(duì)方位置只是要做不做的問(wèn)題而已。如果對(duì)方是透過(guò)一臺(tái)UNIX主機(jī)和你連線，則你更可以透過(guò)ident查到是誰(shuí)和你連線的。

　　在實(shí)行TCP/IP通訊協(xié)定的電腦上,通�？梢杂胣etstat指令來(lái)看到目前連線的狀況。

　　(各位朋友可以在win95、Novell以及UNIX試試看(注一)，在下面的連線狀況中，netstat指令是在win95上實(shí)行的，可以看到目前自己機(jī)器(Local Address處)的telnetport有一臺(tái)主機(jī)workstation.variox.int 由遠(yuǎn)端(Foreign Address處)連線進(jìn)來(lái)并且配到1029號(hào)tcp port.而cc unix1主機(jī)也以ftpport連到workstation.variox.int去。所有的連線狀況看得 一清二楚。(如A、B)

　　A.在UNIX主機(jī)(ccunix1.variox.int)看netstat

　　B.另一端在Windows95(workstation.variox.int)看netstat, 雖然是不同的作業(yè)系統(tǒng)，但netstat是不是長(zhǎng)得很像呢？

　　通信過(guò)程的紀(jì)錄設(shè)定

　　當(dāng)然，如果你想要把網(wǎng)絡(luò)連線紀(jì)錄給記錄下來(lái)，你可以用cron table定時(shí)去跑：

　　netstat＞＞filename

　　但是UNIX系統(tǒng)早已考慮到這一個(gè)需求，因此在系統(tǒng)中有一個(gè)專(zhuān)職記錄系統(tǒng)事件的

　　Daemon:syslogd，應(yīng)該有很多朋友都知道在UNIX系統(tǒng)的/var/adm下面有兩個(gè)系統(tǒng)紀(jì)錄檔案：

　　syslog與messages，一個(gè)是一般系統(tǒng)的紀(jì)錄，一個(gè)是核心的紀(jì)錄。但是這兩個(gè)檔案是從哪邊來(lái)的，又要如何設(shè)定呢？

　　系統(tǒng)的紀(jì)錄基本上都是由syslogd (System Kernel Log Daemon)來(lái)產(chǎn)生，而syslogd的控制是由/etc/syslog.conf來(lái)做的。syslog.conf以?xún)蓚�(gè)欄位來(lái)決定要記錄哪些東西，以及記錄到哪邊去。下面是一個(gè) Linux系統(tǒng)所附上的yslog.conf檔案，這也是一個(gè)最標(biāo)準(zhǔn)的syslog.conf寫(xiě)法：

　　格式就是這樣子，第一欄寫(xiě)「在什么情況下」以及「什么程度」。然后用TAB鍵跳下一欄繼續(xù)寫(xiě)「符合條件以后要做什么」。這個(gè)syslog.conf檔案的很誠(chéng)實(shí)，告訴你只能用TAB來(lái)作各欄位之間的分隔(雖然看來(lái)好像他也不知道為什么)。 第一欄包含了何種情況與程度，中間小數(shù)點(diǎn)分隔。另外，星號(hào)就代表了某一細(xì)項(xiàng)中的所有選項(xiàng)。詳細(xì)的設(shè)定方式

　　auth 關(guān)于系統(tǒng)安全與使用者認(rèn)證方面

　　cron 關(guān)于系統(tǒng)自動(dòng)排程執(zhí)行(CronTable)方面

　　daemon 關(guān)于背景執(zhí)行程式方面

　　kern 關(guān)于系統(tǒng)核心方面

　　lpr 關(guān)于印表機(jī)方面

　　mail 關(guān)于電子郵件方面

　　news 關(guān)于新聞?dòng)懻搮^(qū)方面

　　syslog 關(guān)于系統(tǒng)紀(jì)錄本身方面

　　user 關(guān)于使用者方面

　　uucp 關(guān)于UNIX互拷(UUCP)方面

　　上面是大部份的UNIX系統(tǒng)都會(huì)有的情況，而有些UNIX系統(tǒng)可能會(huì)再分出不同的項(xiàng)目出來(lái)。

　　2.什么程度才記錄：

　　下面是各種不同的系統(tǒng)狀況程度，依照輕重緩急排列。

　　none 不要記錄這一項(xiàng)

　　debug 程式或系統(tǒng)本身除錯(cuò)訊息

　　info 一般性資訊

　　notice 提醒注意性

　　err 發(fā)生錯(cuò)誤

　　warning 警告性

　　crit 較嚴(yán)重的警告

　　alert 再?lài)?yán)重一點(diǎn)的警告

　　emerg 已經(jīng)非常嚴(yán)重了