首页 理论教育根据网络系统日志跟踪与分析的性能变化的子任务

根据网络系统日志跟踪与分析的性能变化的子任务

【摘要】:而他的入侵时间、IP 地址以及探测的用户名都很清楚地记录在日志上。

1.工作任务

根据网络系统日志跟踪与分析网络系统的性能变化。

2.FTP 日志分析

FTP 日志和WWW 日志在默认情况下,每天生成一个日志文件,包含了该日的一切记录,文件名通常为ex(年份)(月份)(日期)。例如ex040419,就是2025年4月19日产生的日志,用记事本可直接打开,普通的有入侵行为的日志一般是这样的:

Software:Microsoft Internet Information Services 5.0(微软IIS5.0)

Version:1.0 (版本1.0)

Date:20040419 0315 (服务启动时间日期)

Fields:time cip csmethod csuristem scstatus

0315 127.0.0.1 “1”USER administator 331(IP 地址为127.0.0.1 用户名为administator试图登录)

0318 127.0.0.1 “1”PASS–530(登录失败)

032:04 127.0.0.1 “1”USER nt 331(IP 地址为127.0.0.1 用户名为nt 的用户试图登录)

032:06 127.0.0.1 “1”PASS–530(登录失败)

032:09 127.0.0.1 “1”USER cyz 331(IP 地址为127.0.0.1 用户名为cyz 的用户试图登录)

0322 127.0.0.1 “1”PASS–530(登录失败)

0322 127.0.0.1 “1”USER administrator 331(IP 地址为127.0.0.1 用户名为administrator试图登录)(https://www.chuimin.cn)

0324 127.0.0.1 “1”PASS–230(登录成功)

0321 127.0.0.1 “1”MKD nt 550(新建目录失败)

0325 127.0.0.1 “1”QUIT–550(退出FTP 程序)

从日志里就能看出IP 地址为127.0.0.1 的用户一直试图登录系统,换了四次用户名和密码才成功,管理员立即就可以得知这个IP 至少有入侵企图!而他的入侵时间、IP 地址以及探测的用户名都很清楚地记录在日志上。如上例入侵者最终是用 administrator 用户名进入的,那么就要考虑此用户名是不是密码失窃,还是被别人利用。接下来就要想想系统出什么问题了。

3.WWW 日志分析

WWW 服务同FTP 服务一样,产生的日志也是在%systemroot%\sys tem32\LogFiles\W3SVC1 目录下,默认是每天一个日志文件。这里需要特别说明一下,因为Web 的日志和其他日志不同,它的分析要细致得多,需要管理员有丰富的入侵、防护知识,并且要有足够的细心,否则,很容易遗漏那种很简单的日志,而通常这样的日志又是非常关键的。由于我们不可能一个一个分析,所以这里举个简单例子:

Software:Microsoft Internet Information Services 5.0

Version:1.0

Date:20040419 03:091

Fields:date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent)

20040419 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible\;+MSIE+5.0\;+Windows+98\;+DigExt)

20040419 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible\;+MSIE+5.0\;+Windows+98\;+DigExt)

通过分析第六行,可以看出2025年5月19日,IP 地址为192.168.1.26 的用户通过访问IP 地址为192.168.1.37 机器的80 端口,查看了一个页面iisstart.asp,这位用户的浏览器为compatible\;+MSIE+5.0\;+Windows+98+DigExt,有经验的管理员就可通过安全日志、FTP 日志和WWW 日志来确定入侵者的IP 地址以及入侵时间。

对现在非常常见的SQL 注入式攻击,通过对put、get 的检查,也可以大概判断是哪个页面出了问题,从而修补。