用简单方法查找黑客的足迹
Thursday, 10. May 2007, 12:12:14
PS:这是维护服务器的一些小总结,写下来给大家参考参考.部分来源于网络.首发B.S.T.转载请注名出处.
网络安全是一个综合的、复杂的工程，任何网络安全措施都不能保证万无一失。因此，一旦网络遭到攻击，如何追踪网络攻击，是十分必要的。追踪网络攻击就是找到事件发生的源头。话不多说,细心往下看咯.
1.netstat命令----实时察看攻击者
使用netstat命令可以获得所有联接被测主机的网络用户的IP地址。Windows系列、Unix系列、Linux等常用网络操作系统都可以使用“netstat”命令。这里主要针对Windows系列.
使用“netstat”命令的缺点是只能显示当前的连接，如果使用“netstat”命令时攻击者没有联接，则无法发现攻击者的踪迹。为此，可以使用 Scheduler建立一个日程安排，安排系统每隔一定的时间使用一次“netstat”命令，并使用netstattextfile格式把每次检查时得到的数据写入一个文本文件中，以便需要追踪网络攻击时使用。
2.日志数据--最详细的攻击记录
系统的日志数据提供了详细的用户登录信息。在追踪网络攻击时，这些数据是最直接的、有效的证据。但是有些系统的日志数据不完善，网络攻击者也常会把自己的活动从系统日志中删除。因此，需要采取补救措施，以保证日志数据的完整性。
WindowsNT和Windows2000/2003的日志
WindowsNT 和Windows2000/2003有系统日志、安全日志和应用程序日志等三个日志，而与安全相关的数据包含在安全日志中。安全日志记录了登录用户的相关信息。安全日志中的数据是由配置所决定的。因此，应该根据安全需要合理进行配置，以便获得保证系统安全所必需的数据。
但是，WindowsNT和Windows2000/2003的安全日志存在重大缺陷，它不记录事件的源，不可能根据安全日志中的数据追踪攻击者的源地址。为了解决这个问题，可以安装一个第三方的能够完整记录审计数据的工具。
3.防火墙日志
作为网络系统中的“堡垒主机”，防火墙被网络攻击者攻陷的可能性要小得多。然而道高一尺,魔高一丈,防火墙的攻破也时有发生,这时它的日志也可能被删除和修改。
攻击者还可向防火墙发动拒绝服务攻击，使防火墙瘫痪或至少降低其速度使其难以对事件做出及时响应，从而破坏防火墙日志的完整性。因此，在使用防火墙日志之前，应该运行专用工具检查防火墙日志的完整性，以防得到不完整的数据，贻误追踪时机。
网络安全是一个综合的、复杂的工程，任何网络安全措施都不能保证万无一失。因此，一旦网络遭到攻击，如何追踪网络攻击，是十分必要的。追踪网络攻击就是找到事件发生的源头。话不多说,细心往下看咯.
1.netstat命令----实时察看攻击者
使用netstat命令可以获得所有联接被测主机的网络用户的IP地址。Windows系列、Unix系列、Linux等常用网络操作系统都可以使用“netstat”命令。这里主要针对Windows系列.
使用“netstat”命令的缺点是只能显示当前的连接，如果使用“netstat”命令时攻击者没有联接，则无法发现攻击者的踪迹。为此，可以使用 Scheduler建立一个日程安排，安排系统每隔一定的时间使用一次“netstat”命令，并使用netstattextfile格式把每次检查时得到的数据写入一个文本文件中，以便需要追踪网络攻击时使用。
2.日志数据--最详细的攻击记录
系统的日志数据提供了详细的用户登录信息。在追踪网络攻击时，这些数据是最直接的、有效的证据。但是有些系统的日志数据不完善，网络攻击者也常会把自己的活动从系统日志中删除。因此，需要采取补救措施，以保证日志数据的完整性。
WindowsNT和Windows2000/2003的日志
WindowsNT 和Windows2000/2003有系统日志、安全日志和应用程序日志等三个日志，而与安全相关的数据包含在安全日志中。安全日志记录了登录用户的相关信息。安全日志中的数据是由配置所决定的。因此，应该根据安全需要合理进行配置，以便获得保证系统安全所必需的数据。
但是，WindowsNT和Windows2000/2003的安全日志存在重大缺陷，它不记录事件的源，不可能根据安全日志中的数据追踪攻击者的源地址。为了解决这个问题，可以安装一个第三方的能够完整记录审计数据的工具。
3.防火墙日志
作为网络系统中的“堡垒主机”，防火墙被网络攻击者攻陷的可能性要小得多。然而道高一尺,魔高一丈,防火墙的攻破也时有发生,这时它的日志也可能被删除和修改。
攻击者还可向防火墙发动拒绝服务攻击，使防火墙瘫痪或至少降低其速度使其难以对事件做出及时响应，从而破坏防火墙日志的完整性。因此，在使用防火墙日志之前，应该运行专用工具检查防火墙日志的完整性，以防得到不完整的数据，贻误追踪时机。
