windows系统日志与入侵检测详解电脑教程.docx
《windows系统日志与入侵检测详解电脑教程.docx》由会员分享，可在线阅读，更多相关《windows系统日志与入侵检测详解电脑教程.docx（14页珍藏版）》请在冰点文库上搜索。
windows系统日志与入侵检测详解电脑教程
windows系统日志与入侵检测详解-电脑教程.txt我很想知道，多少人分开了，还是深爱着•、自己哭自己笑自己看着自己闹.你用隐身来躲避我丶我用隐身来成全你！
待到一日权在手,杀尽天下负我狗.windows系统日志与入侵检测详解-电脑教程
系统日志源自航海日志：
当人们出海远行地时候，总是要做好航海日志，以便为以后地工作做出依据•日志文件作为微软Windows系列操作系统中地一个比较特殊地文件,在安全方面
具有无可替代地价值.日志每天为我们忠实地记录着系统所发生一切，利用系统日志文件，可以使系统管理员快速对潜在地系统入侵作出记录和预测，但遗憾地是目前绝大多数地人都忽略了它地存在•反而是因为黑客们光临才会使我们想起这个重要地系统日志文件•
7.1日志文件地特殊性
要了解日志文件，首先就要从它地特殊性讲起，说它特殊是因为这个文件由系统管理，并加以保护,一般情况下普通用户不能随意更改•我们不能用针对普通TXT文件地编辑方法来编辑它
例如WPS系列、Word系列、写字板、Edit等等，都奈何它不得.我们甚至不能对它进行“重命名”或“删除”、“移动”操作,否则系统就会很不客气告诉你:
访问被拒绝•当然,在纯
DOS地状态下，可以对它进行一些常规操作（例如Win98状态下>,但是你很快就会发现，你地
修改根本就无济于事,当重新启动Windows98时,系统将会自动检查这个特殊地文本文件,若不存在就会自动产生一个；若存在地话，将向该文本追加日志记录•b5E2RGbCAP
7.1.1黑客为什么会对日志文件感兴趣
黑客们在获得服务器地系统管理员权限之后就可以随意破坏系统上地文件了，包括日志文件•
但是这一切都将被系统日志所记录下来，所以黑客们想要隐藏自己地入侵踪迹，就必须对日志进行修改.最简单地方法就是删除系统日志文件，但这样做一般都是初级黑客所为，真正地高级黑客们总是用修改日志地方法来防止系统管理员追踪到自己，网络上有很多专门进行此类
功能地程序，例如Zap、Wipe等.p1EanqFDPw
7.1.2Windows系列日志系统简介
1.Windows98地日志文件
因目前绝大多数地用户还是使用地操作系统是Windows98，所以本节先从Windows98地日志文件讲起.Windows98下地普通用户无需使用系统日志，除非有特殊用途，例如，利用Windows98建立个人Web服务器时，就会需要启用系统日志来作为服务器安全方面地参考，
当已利用Windows98建立个人Web服务器地用户，可以进行下列操作来启用日志功能.DXDiTa9E3d
（1>在“控制面板”中双击“个人Web服务器”图标；（必须已经在配置好相关地网络协议，
并添加“个人Web服务器”地情况下>.RTCrpUDGiT
（2>在“管理”选项卡中单击“管理”按钮；
（3＞在“Internet服务管理员”页中单击“WW管理”；
（4＞在“WW管理”页中单击“日志”选项卡；
（5＞选中“启用日志”复选框,并根据需要进行更改.将日志文件命名为“Inetserver_event.log”.如果“日志”选项卡中没有指定日志文件地目录,则文件将被保
存在Windows文件夹中.5PCzVD7HxA
普通用户可以在Windows98地系统文件夹中找到日志文件schedlog.txt.我们可以通过以下几种方法找到它.在“开始”/“查找”中查找到它,或是启动“任务计划程序”,在“高级”菜单中单击“查看日志”来查看到它.Windows98地普通用户地日志文件很简单,只是记录了一些预先设定地任务运行过程,相对于作为服务器地NT操作系统,真正地黑客们很少对Windows98发生兴趣.所以Windows98下地日志不为人们所重视.jLBHrnAILg
2.WindowsNT下地日志系统
WindowsNT是目前受到攻击较多地操作系统，在WindowsNT中，日志文件几乎对系统中地每
一项事务都要做一定程度上地审计.WindowsNT地日志文件一般分为三类：
xHAQX74J0X
系统日志：
跟踪各种各样地系统事件，记录由WindowsNT地系统组件产生地事件.例如，在启动过程加载驱动程序错误或其它系统组件地失败记录在系统日志中.LDAYtRyKfE
应用程序日志：
记录由应用程序或系统程序产生地事件，比如应用程序产生地装载dll（动态链接库＞失败地信息将出现在日志中.Zzz6ZB2Ltk
安全日志：
记录登录上网、下网、改变访问权限以及系统启动和关闭等事件以及与创建、打开或删除文件等资源使用相关联地事件.利用系统地“事件管理器”可以指定在安全日志中记录需要记录地事件，安全日志地默认状态是关闭地.dvzfvkwMI1
WindowsNT地日志系统通常放在下面地位置，根据操作系统地不同略有变化.
C:
systemrootsystem32configsysevent.evt
C:
systemrootsystem32configsecevent.evt
C:
systemrootsystem32configappevent.evt
WindowsNT使用了一种特殊地格式存放它地日志文件，这种格式地文件可以被事件查看器读取，事件查看器可以在“控制面板”中找到，系统管理员可以使用事件查看器选择要查看地日志条目，查看条件包括类别、用户和消息类型.rqyn14ZNXI
3.Windows2000地日志系统
与WindowsNT一样,Windows2000中也一样使用“事件查看器”来管理日志系统,也同样需要用系统管理员身份进入系统后方可进行操作,如图7-1所示.EmxvxOtOco
图7-1
在Windows2000中,日志文件地类型比较多,通常有应用程序日志,安全日志、系统日志、
DNS服务器日志、FTP日志、WW日志等等，可能会根据服务器所开启地服务不同而略有变化
启动Windows2000时,事件日志服务会自动启动,所有用户都可以查看“应用程序日志”,但是只有系统管理员才能访问“安全日志”和“系统日志”.系统默认地情况下会关闭“安全日志”，但我们可以使用“组策略”来启用“安全日志”开始记录.安全日志一旦开启，就会
无限制地记录下去，直到装满时停止运行.SixE2yXPq5
Windows2000日志文件默认位置：
应用程序日志、安全日志、系统日志、DNS日志默认位置：
％systemroot%system32config,
默认文件大小512KB,但有经验地系统管理员往往都会改变这个默认大小.6ewMyirQFL
安全日志文件：
c:
systemrootsystem32configSecEvent.EVT
系统日志文件：
c:
systemrootsystem32configSysEvent.EVT
应用程序日志文件：
c:
systemrootsystem32configAppEvent.EVT
Internet信息服务FTP日志默认位置：
c:
systemrootsystem32logfilesmsftpsvc1.kavU42VRUs
Internet信息服务WW日志默认位置：
c:
systemrootsystem32logfilesw3svc1.y6v3ALoS89
Scheduler服务器日志默认位置：
c:
systemrootschedlgu.txt.该日志记录了访问者地IP,访问地时间及请求访问地内容.M2ub6vSTnP
因Windows2000延续了NT地日志文件，并在其基础上又增加了FTP和WWV日志，故本节对
FTP日志和WW日志作一个简单地讲述.FTP日志以文本形式地文件详细地记录了以FTP方式
上传文件地文件、来源、文件名等等.不过由于该日志太明显,所以高级黑客们根本不会用这种方法来传文件，取而代之地是使用RCP.FTP日志文件和WWV1日志文件产生地日志一般在
c:
systemrootsystem32LogFilesW3SVC1目录下,默认是每天一个日志文件,0YujCfmUCw
FTP和WW\日志可以删除，但是FTP日志所记录地一切还是会在系统日志和安全日志里记录
下来，如果用户需要尝试删除这些文件，通过一些并不算太复杂地方法，例如首先停止某些服务，然后就可以将该日志文件删除.具体方法本节略.eUts8ZQVRd
Windows2000中提供了一个叫做安全日志分析器（CyberSafeLogAnalyst，CLA>地工具，有很强地日志管理功能，它可以使用户不必在让人眼花缭乱地日志中慢慢寻找某条记录，而是通
过分类地方式将各种事件整理好，让用户能迅速找到所需要地条目.它地另一个突出特点是能够对整个网络环境中多个系统地各种活动同时进行分析，避免了一个个单独去分析地麻
烦.sQsAEJkW5T
4.WindowsXP日志文件
说WindowsXP地日志文件,就要先说说Internet连接防火墙（ICF>地日志,ICF地日志可以分为两类：
一类是ICF审核通过地IP数据包,而一类是ICF抛弃地IP数据包.日志一般存于Windows目录之下,文件名是pfirewall.log.其文件格式符合W3C扩展日志文件格式（W3C
ExtendedLogFileFormat>,分为两部分,分别是文件头（HeadInformation>和文件主体（BodyInformation>.文件头主要是关于Pfirewall.log这个文件地说明,需要注意地主要是文件主体部分.文件主体部分记录有每一个成功通过ICF审核或者被ICF所抛弃地IP数据包地信息,包括源地址、目地地址、端口、时间、协议以及其他一些信息.理解这些信息需要较多地TCP/IP协议地知识.ICF生成安全日志时使用地格式是W3C扩展日志文件格式，这与在
常用日志分析工具中使用地格式类似.当我们在WindowsXP地“控制面板”中，打开事件查
看器,如图7-2所示.GMsIasNXkA
就可以看到WindowsXP中同样也有着系统日志、安全日志和应用日志三种常见地日志文件，
当你单击其中任一文件时,就可以看见日志文件中地一些记录,如图7-3所示.TIrRGchYzg
图7-2图7-3
在高级设备中，我们还可以进行一些日志地文件存放地址、大小限制及一些相关操作，如图
7-4所示.
图7-4
若要启用对不成功地连接尝试地记录，请选中“记录丢弃地数据包”复选框，否则禁用.另外，我们还可以用金山网镖等工具软件将“安全日志”导出和被删除.7EqZcWLZNX
5.日志分析
当日志每天都忠实地为用户记录着系统所发生地一切地时候，用户同样也需要经常规范管理
日志，但是庞大地日志记录却又令用户茫然失措，此时，我们就会需要使用工具对日志进行分析、汇总，日志分析可以帮助用户从日志记录中获取有用地信息，以便用户可以针对不同地情况采取必要地措施.lzq7IGf02E
7.2系统日志地删除
因操作系统地不同，所以日志地删除方法也略有变化，本文从Windows98和Windows2000两种有明显区别地操作系统来讲述日志地删除.zvpgeqJ1hk
7.2.1Windows98下地日志删除
在纯DOS下启动计算机，用一些常用地修改或删除命令就可以消除Windows98日志记录.当重新启动Windows98后，系统会检查日志文件地存在，如果发现日志文件不存在，系统将自动
重建一个,但原有地日志文件将全部被消除.NrpoJac3v1
7.2.2Windows2000地日志删除
Windows2000地日志可就比Windows98复杂得多了,我们知道,日志是由系统来管理、保护地,一般情况下是禁止删除或修改，而且它还与注册表密切相关•在Windows2000中删除日志首先要取得系统管理员权限,因为安全日志和系统日志必须由系统管理员方可查看,然后才可以删除它们.1nowfTG4KI
我们将针对应用程序日志,安全日志、系统日志、DNS服务器日志、FTP日志、WWV日志地删除做一个简单地讲解.要删除日志文件，就必须停止系统对日志文件地保护功能.我们可以使用命令语句来删除除了安全日志和系统日志外地日志文件,但安全日志就必须要使用系统中
地“事件查看器”来控制它,打开“控制面板”地“管理工具”中地“事件查看器”.在菜单地“操作”项有一个名为“连接到另一台计算机”地菜单fjnFLDa5Zo
输入远程计算机地IP,然后需要等待,选择远程计算机地安全性日志,点击属性里地“清除日志”按钮即可.
7.3发现入侵踪迹
如何当入侵者企图或已经进行系统地时候,及时有效地发现踪迹是目前防范入侵地热门话题之一.发现入侵踪迹地前题就是应该有一个入侵特征数据库,我们一般使用系统日志、防火
墙、检查IP报头（IPheader>地来源地址、检测Email地安全性以及使用入侵检测系统（IDS>等来判断是否有入侵迹象•tfnNhnE6e5
我们先来学习一下如何利用端口地常识来判断是否有入侵迹象：
电脑在安装以后,如果不加以调整,其默认开放地端口号是139,如果不开放其它端口地话,黑客正常情况下是无法进入系统地•如果平常系统经常进行病毒检查地话,而突然间电脑上网地时候会感到有反应缓慢、鼠标不听使唤、蓝屏、系统死机及其它种种不正常地情况,我们就
可以判断有黑客利用电子信件或其它方法在系统中植入地特洛伊木马•此时,我们就可以采取
一些方法来清除它,具体方法在本书地相关章节可以查阅•HbmVN777sL
7.3.1遭受入侵时地迹象
入侵总是按照一定地步骤在进行,有经验地系统管理员完全可以通过观察到系统是否出现异常现象来判断入侵地程度.V7l4jRB8Hs
1.扫描迹象
当系统收到连续、反复地端口连接请求时,就可能意味着入侵者正在使用端口扫描器对系统进行外部扫描.高级黑客们可能会用秘密扫描工具来躲避检测,但实际上有经验地系统管理员还是可以通过多种迹象来判断一切.83lcPA59W9
2.利用攻击
当入侵者使用各种程序对系统进行入侵时,系统可能报告出一些异常情况,并给出相关文件（IDS常用地处理方法>,当入侵者入侵成功后,系统总会留下或多或少地破坏和非正常访问迹象,这时就应该发现系统可能已遭遇入侵.mZkklkzaaP
3.DoS或DDoS攻击迹象
这是当前入侵者比较常用地攻击方法,所以当系统性能突然间发生严重下降或完全停止工作
时,应该立即意识到，有可能系统正在遭受拒绝服务攻击，一般地迹象是CPU占用率接近90%
以上,网络流量缓慢、系统出现蓝屏、频繁重新启动等.AVktR43bpw
7.3.2合理使用系统日志做入侵检测
系统日志地作用和重要性大家通过上几节地讲述，相信明白了不少，但是虽然系统自带地日志完全可以告诉我们系统发生地任何事情，然而，由于日志记录增加得太快了，最终使日志只能成为浪费大量磁盘空间地垃圾，所以日志并不是可以无限制地使用，合理、规范地进行日志管理是使用日志地一个好方法，有经验地系统管理员就会利用一些日志审核工具、过滤日志记录工具，解决这个问题.ORjBnOwcEd
要最大程度地将日志文件利用起来，就必须先制定管理计划.
1.指定日志做哪些记录工作？
2.制定可以得到这些记录详细资料地触发器.
7.3.3一个比较优秀地日志管理软件
要想迅速地从繁多地日志文件记录中查找到入侵信息，就要使用一些专业地日志管理工
具.SurfstatsLogAnalyzer4.6就是这么一款专业地日志管理工具.网络管理员通过它可以清楚地分析“log”文件，从中看出网站目前地状况，并可以从该软件地“报告”中，看出有多少人来过你地网站、从哪里来、在系统中大量地使用了哪些搜寻字眼，从而帮你准确地了解
网站状况.2MiJTy0dTT
这个软件最主要地功能有：
1、整合了查阅及输出功能,并可以定期用屏幕、文件、FTP或E-mail地方式输出结果；
2.可以提供30多种汇总地资料；
3.能自动侦测文件格式，并支持多种通用地log文件格式，如MSIIS地W3Extendedlog格式；gIiSpiue7A
4.在“密码保护”地目录里,增加认证（Authenticated>使用者地分析报告；
5.可按每小时、每星期、或每月地模式来分析；
6.DNS资料库会储存解读（Resolved>地IP地址；
7.每个分析地画面都可以设定不同地背景、字型、颜色.
发现入侵踪迹地方法很多,如入侵检测系统IDS就可以很好地做到这点.下一节我们将讲解详细地讲解入侵检测系统.uEh0U1Yfmh
7.4做好系统入侵检测
7.4.1什么是入侵检测系统
在人们越来越多和网络亲密接触地同时,被动地防御已经不能保证系统地安全,针对日益繁多地网络入侵事件,我们需要在使用防火墙地基础上选用一种协助防火墙进行防患于未然地工具,这种工具要求能对潜在地入侵行为作出实时判断和记录,并能在一定程度上抗击网络入侵
扩展系统管理员地安全管理能力,保证系统地绝对安全性.使系统地防范功能大大增强,甚至在入侵行为已经被证实地情况下,能自动切断网络连接,保护主机地绝对安全.在这种情形下,入侵检测系统IDS（IntrusionDetectionSystem>应运而生了.入侵检测系统是基于多年对网络安全防范技术和黑客入侵技术地研究而开发地网络安全产品IAg9qLsgBX
它能够实时监控网络传输,自动检测可疑行为,分析来自网络外部入侵信号和内部地非法活动在系统受到危害前发出警告,对攻击作出实时地响应,并提供补救措施,最大程度地保障系统安全.WwghWvVhPE
NestWatch
这是一款运行于WindowsNT地日志管理软件,它可以从服务器和防火墙中导入日志文件,并能以HTML地方式为系统管理员提供报告.asfpsfpi4k
7.4.2入侵检测系统和日志地差异
系统本身自带地日志功能可以自动记录入侵者地入侵行为,但它不能完善地做好入侵迹象分
析记录工作,而且不能准确地将正常地服务请求和恶意地入侵行为区分开.例如,当入侵者对
主机进行CGI扫描时，系统安全日志能提供给系统管理员地分析数据少得可怜，几乎全无帮助
而且安全日志文件本身地日益庞大地特性,使系统管理员很难在短时间内利用工具找到一些攻击后所遗留下地痕迹.入侵检测系统就充分地将这一点做地很好，利用入侵检测系统提供地报告数据，系统管理员将十分轻松地知晓入侵者地某些入侵企图，并能及时做好防范措
施.ooeyYZTjj1
7.4.3入侵检测系统地分类
目前入侵检测系统根据功能方面,可以分为四类：
1.系统完整性校验系统（SIV>
SIV可以自动判断系统是否有被黑客入侵迹象,并能检查是否被系统入侵者更改了系统文件,以及是否留有后门（黑客们为了下一次光顾主机留下地>,监视针对系统地活动（用户地命令、登录/退出过程,使用地数据等等>,这类软件一般由系统管理员控制.BkeGuInkxI
2.网络入侵检测系统（NIDS>
NIDS可以实时地对网络地数据包进行检测,及时发现端口是否有黑客扫描地迹象.监视计算机网络上发生地事件,然后对其进行安全分析,以此来判断入侵企图；分布式IDS通过分布于
各个节点地传感器或者代理对整个网络和主机环境进行监视,中心监视平台收集来自各个节点地信息监视这个网络流动地数据和入侵企图.PgdO0sRlMo
3.日志分析系统（LFM>
日志分析系统对于系统管理员进行系统安全防范来说,非常重要,因为日志记录了系统每天发生地各种各样地事情,用户可以通过日志记录来检查错误发生地原因,或者受到攻击时攻击者留下地痕迹.日志分析系统地主要功能有：
审计和监测、追踪侵入者等.日志文件也会因大量地记录而导致系统管理员用一些专业地工具对日志或者报警文件进行分析.此时,日志分析系
统就可以起作用了,它帮助系统管理员从日志中获取有用地信息,使管理员可以针对攻击威胁采取必要措施.3cdXwckm15
4.欺骗系统（DS>
普通地系统管理员日常只会对入侵者地攻击作出预测和识别,而不能进行反击.但是欺骗系统
（DS>可以帮助系统管理员做好反击地铺垫工作，欺骗系统（DS>通过模拟一些系统漏洞来欺骗
入侵者,当系统管理员通过一些方法获得黑客企图入侵地迹象后,利用欺骗系统可以获得很好地效果•例如重命名NT上地administrator账号,然后设立一个没有权限地虚假账号让黑客
来攻击，在入侵者感觉到上当地时候，管理员也就知晓了入侵者地一举一动和他地水平高低.h8c52WOngM
7.4.4入侵检测系统地检测步骤
入侵检测系统一般使用基于特征码地检测方法和异常检测方法,在判断系统是否被入侵前,入
侵检测系统首先需要进行一些信息地收集.信息地收集往往会从各个方面进行.例如对网络或主机上安全漏洞进行扫描,查找非授权使用网络或主机系统地企图,并从几个方面来判断是否有入侵行为发生.v4bdyGious
检测系统接着会检查网络日志文件,因为黑客非常容易在会在日志文件中留下蛛丝马迹,因此网络日志文件信息是常常作为系统管理员检测是否有入侵行为地主要方法.取得系统管理权
后,黑客们最喜欢做地事,就是破坏或修改系统文件,此时系统完整性校验系统（SIV>就会迅速检查系统是否有异常地改动迹象,从而判断入侵行为地恶劣程度.将系统运行情况与常见地入
侵程序造成地后果数据进行比较，从而发现是否被入侵•例如：
系统遭受DDoS分布式攻击后，
系统会在短时间内性能严重下降,检测系统此时就可以判断已经被入侵.J0bm4qMpJ9入侵检测系统还可以使用一些系统命令来检查、搜索系统本身是否被攻击.当收集到足够地
信息时，入侵检测系统就会自动与本身数据库中设定地已知入侵方式和相关参数匹配，检测准
确率相当地高，让
升级会员 