首页 理论教育根据网络系统日志跟踪与分析的性能变化的子任务

根据网络系统日志跟踪与分析的性能变化的子任务

【摘要】:而他的入侵时间、IP 地址以及探测的用户名都很清楚地记录在日志上。

1.工作任务

根据网络系统日志跟踪与分析网络系统的性能变化。

2.FTP 日志分析

FTP 日志和WWW 日志在默认情况下,每天生成一个日志文件,包含了该日的一切记录,文件名通常为ex(年份)(月份)(日期)。例如ex040419,就是2004年4月19日产生的日志,用记事本可直接打开,普通的有入侵行为的日志一般是这样的:

#Software:Microsoft Internet Information Services 5.0(微软IIS5.0)

#Version:1.0 (版本1.0)

#Date:20040419 0315 (服务启动时间日期)

#Fields:time cip csmethod csuristem scstatus

0315 127.0.0.1 “1”USER administator 331(IP 地址为127.0.0.1 用户名为administator试图登录)

0318 127.0.0.1 “1”PASS–530(登录失败)

032:04 127.0.0.1 “1”USER nt 331(IP 地址为127.0.0.1 用户名为nt 的用户试图登录)

032:06 127.0.0.1 “1”PASS–530(登录失败)

032:09 127.0.0.1 “1”USER cyz 331(IP 地址为127.0.0.1 用户名为cyz 的用户试图登录)

0322 127.0.0.1 “1”PASS–530(登录失败)

0322 127.0.0.1 “1”USER administrator 331(IP 地址为127.0.0.1 用户名为administrator试图登录)(www.chuimin.cn)

0324 127.0.0.1 “1”PASS–230(登录成功)

0321 127.0.0.1 “1”MKD nt 550(新建目录失败)

0325 127.0.0.1 “1”QUIT–550(退出FTP 程序)

从日志里就能看出IP 地址为127.0.0.1 的用户一直试图登录系统,换了四次用户名和密码才成功,管理员立即就可以得知这个IP 至少有入侵企图!而他的入侵时间、IP 地址以及探测的用户名都很清楚地记录在日志上。如上例入侵者最终是用 administrator 用户名进入的,那么就要考虑此用户名是不是密码失窃,还是被别人利用。接下来就要想想系统出什么问题了。

3.WWW 日志分析

WWW 服务同FTP 服务一样,产生的日志也是在%systemroot%\sys tem32\LogFiles\W3SVC1 目录下,默认是每天一个日志文件。这里需要特别说明一下,因为Web 的日志和其他日志不同,它的分析要细致得多,需要管理员有丰富的入侵、防护知识,并且要有足够的细心,否则,很容易遗漏那种很简单的日志,而通常这样的日志又是非常关键的。由于我们不可能一个一个分析,所以这里举个简单例子:

#Software:Microsoft Internet Information Services 5.0

#Version:1.0

#Date:20040419 03:091

#Fields:date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent)

20040419 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible\;+MSIE+5.0\;+Windows+98\;+DigExt)

20040419 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible\;+MSIE+5.0\;+Windows+98\;+DigExt)

通过分析第六行,可以看出2004年5月19日,IP 地址为192.168.1.26 的用户通过访问IP 地址为192.168.1.37 机器的80 端口,查看了一个页面iisstart.asp,这位用户的浏览器为compatible\;+MSIE+5.0\;+Windows+98+DigExt,有经验的管理员就可通过安全日志、FTP 日志和WWW 日志来确定入侵者的IP 地址以及入侵时间。

对现在非常常见的SQL 注入式攻击,通过对put、get 的检查,也可以大概判断是哪个页面出了问题,从而修补。