| |
三是日志文件的非法修改。上面我們說過，非法攻擊者拜訪過企業(yè)的網(wǎng)絡(luò)主機(jī)之后，肯定會(huì)在系統(tǒng)日志或者網(wǎng)絡(luò)日志中留下蛛絲馬跡。在他們攻擊得手之后，為了隱藏他們?cè)谙到y(tǒng)中的表現(xiàn)以及攻擊的痕跡，都會(huì)盡力的去替換系統(tǒng)日志中的相關(guān)內(nèi)容。為此，若能夠及時(shí)的收集這些信息的話，則即使他們更改了日志中的內(nèi)容，我們也能夠及早的發(fā)現(xiàn)，從而采取對(duì)應(yīng)的措施。
第三步：非正常程序的運(yùn)行信息。
黑客攻擊企業(yè)網(wǎng)絡(luò)信息的話，往往不會(huì)只是取得管理員權(quán)限那么簡單。他們攻擊系統(tǒng)的最終目的，是為了竊取相關(guān)的信息，如密碼等等；或者把企業(yè)的網(wǎng)絡(luò)主機(jī)當(dāng)作肉雞，作為攻擊其他網(wǎng)絡(luò)的跳板等等。無論是出于哪種目的，除非直接竊取電腦上的文件，不然的話，一般都需要通過在被攻擊的主機(jī)后臺(tái)運(yùn)行一些程序，如鍵盤記錄工具軟件等等，才能夠達(dá)到類似的目的。
所以，及時(shí)的收集這些非正常程序運(yùn)行的信息，可以及早的發(fā)現(xiàn)企業(yè)網(wǎng)絡(luò)被攻擊的跡象。而一般來說，收集這些非正常的程序，就是需要收集一些進(jìn)程信息。
因?yàn)樵诿總�(gè)系統(tǒng)上執(zhí)行的程序都是由一到幾個(gè)進(jìn)程來實(shí)現(xiàn)的。而且，一個(gè)進(jìn)程的執(zhí)行行為又是由他運(yùn)行時(shí)執(zhí)行的操作來表現(xiàn)的。操作執(zhí)行的方式不同，利用系統(tǒng)資源也就不同。若在系統(tǒng)進(jìn)程中，出現(xiàn)了一個(gè)我們不希望看到的進(jìn)程，或者個(gè)這個(gè)進(jìn)程出現(xiàn)了我們網(wǎng)絡(luò)管理員不期望的行為，如試圖往注冊(cè)表中加入一些非法的信息等等，如建立隱形帳戶等等，這就表示有攻擊者存在。
若我們感到網(wǎng)絡(luò)速度明顯變慢的時(shí)候，可以通過查看系統(tǒng)的進(jìn)程來了解相關(guān)的信息。但是，若靠手工收集這些進(jìn)程信息的話，是不怎么現(xiàn)實(shí)的。一方面工作量比較大，另一方面這些非法的進(jìn)程往往不會(huì)時(shí)刻都運(yùn)行著。當(dāng)他執(zhí)行完一定的任務(wù)之后，就會(huì)迅速的退出，防止為我們發(fā)現(xiàn)。所以，我們就需要通過一些工具，實(shí)時(shí)的收集這些進(jìn)程信息。如此的話，我們就可以迅速的找到入侵者的蹤跡，在他們?cè)谶�沒有造成更大的破壞之前，把他們消滅掉。
總之，入侵信息的收集是一個(gè)比較復(fù)雜的體系。需要在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中若干不同關(guān)鍵點(diǎn)，如不同網(wǎng)段與不同主機(jī)之間收集信息。這主要是為了全方位的了解相關(guān)的入侵信息。而且非法攻擊者往往善于尋找企業(yè)網(wǎng)絡(luò)中的薄弱環(huán)節(jié)。故，網(wǎng)絡(luò)入侵信息的收集，還需要注意一個(gè)全面性。
但是，全面收集網(wǎng)絡(luò)入侵信息的話，往往工作量比較大。若單純的靠手工去收集這些信息的話，是不怎么現(xiàn)實(shí)的；工作量大而且容易漏掉。所以，我們需要采用一些工具，來幫助我們收集這些內(nèi)容�，F(xiàn)在市面上的一些入侵檢測(cè)工具，就都帶有這些信息的收集功能。以為只有在這些信息的基礎(chǔ)之上，這些工具才能夠?qū)Υ思右苑治�，得出可能的入侵結(jié)果。
另外一些系統(tǒng)也帶有自動(dòng)警告功能，可以自動(dòng)把一些他們認(rèn)為可疑的信息發(fā)送給我們網(wǎng)絡(luò)安全管理員。如當(dāng)有人多次試圖利用管理員帳戶登陸路由器的時(shí)候，若密碼錯(cuò)了三次，則就會(huì)自動(dòng)發(fā)送郵件給網(wǎng)絡(luò)安全管理人員，提醒他們存在這個(gè)非正常的登陸事件。讓我們判斷這個(gè)是否是正常的。這也是一個(gè)很實(shí)用的功能，不過這需要占用額外的資源，所以，默認(rèn)情況下這個(gè)功能都是沒有打開的。若需要的話，則要由管理員進(jìn)行手工的配置。對(duì)于一些重要的網(wǎng)絡(luò)設(shè)備，還是建議開啟這項(xiàng)功能。
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
