|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體，實現(xiàn)資源的全面共享和有機(jī)協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機(jī)、存儲資源、數(shù)據(jù)資源、信息資源、知識資源、專家資源、大型數(shù)據(jù)庫、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 入侵者使用的其它工具 以上所列無法包括全部的入侵工具，攻擊者在系統(tǒng)中可能還會留下其它入侵工具。這些工具包括： 系統(tǒng)安全缺陷探測工具 對其它站點發(fā)起大規(guī)模探測的腳本 發(fā)起拒絕服務(wù)攻擊的工具 使用被侵入主機(jī)計算和網(wǎng)絡(luò)資源的程序 入侵工具的輸出 你可能會發(fā)現(xiàn)入侵工具程序留下的一些日志文件。在這些文件中可能會包含被牽扯的其它站點，攻擊者利用的安全缺陷，以及其它站點的安全缺陷。 因此，建議你對系統(tǒng)進(jìn)行徹底的搜索，找出上面列出的工具及其輸出文件。一定要注意：在搜索過程中，要使用沒有被攻擊者修改過的搜索工具拷貝。 搜索主要可以集中于以下方向： 檢查UNIX系統(tǒng)/dev/目錄下意外的ASCII文件。一些特洛伊木馬二進(jìn)制文件使用的配置文件通常在/dev目錄中。 仔細(xì)檢查系統(tǒng)中的隱藏文件和隱藏目錄。如果入侵者在系統(tǒng)中建立一個一個新的帳戶，那么這個新帳戶的起始目錄以及他使用的文件可能是隱藏的。 檢查一些名字非常奇怪的目錄和文件，例如:...(三個點)、..(兩個點)以及空白(在UNIX系統(tǒng)中)。入侵者通常會在這樣的目錄中隱藏文件。對于NT，應(yīng)該檢查那些名字和一些系統(tǒng)文件名非常接近的目錄和文件。 4.審查系統(tǒng)日志文件 詳細(xì)地審查你的系統(tǒng)日志文件，你可以了解系統(tǒng)是如何被侵入的，入侵過程中，攻擊者執(zhí)行了哪些操作，以及哪些遠(yuǎn)程主機(jī)訪問了你的主機(jī)。通過這些信息，你能夠?qū)θ肭钟懈忧逦恼J(rèn)識。 記住:系統(tǒng)中的任何日志文件都可能被入侵者改動過。 對于UNIX系統(tǒng)，你可能需要查看/etc/syslog.conf文件確定日志信息文件在哪些位置。NT通常使用三個日志文件，記錄所有的NT事件，每個NT事件都會被記錄到其中的一個文件中，你可以使用Event Viewer查看日志文件。其它一些NT應(yīng)用程序可能會把自己的日志放到其它的地方，例如ISS服務(wù)器默認(rèn)的日志目錄是c:winntsystem32logfiles。 以下是一個通常使用的UNIX系統(tǒng)日志文件列表。由于系統(tǒng)配置的不同可能你的系統(tǒng)中沒有其中的某些文件。 messages messages日志文件保存了大量的信息�？梢詮倪@個文件中發(fā)現(xiàn)異常信息，檢查入侵過程中發(fā)生了哪些事情。 xferlog 如果被侵入系統(tǒng)提供FTP服務(wù)，xferlog文件就會記錄下所有的FTP傳輸。這些信息可以幫助你確定入侵者向你的系統(tǒng)上載了哪些工具，以及從系統(tǒng)下載了哪些東西。 utmp 保存當(dāng)前登錄每個用戶的信息，使用二進(jìn)制格式。這個文件只能確定當(dāng)前哪些用戶登錄。使用who命令可以讀出其中的信息。 wtmp 每次用戶成功的登錄、退出以及系統(tǒng)重啟，都會在wtmp文件中留下記錄。這個文件也使用二進(jìn)制格式，你需要使用工具程序從中獲取有用的信息。last就是一個這樣的工具。它輸出一個表，包括用戶名、登錄時間、發(fā)起連接的主機(jī)名等信息，詳細(xì)用法可以使用man last查詢。檢查在這個文件中記錄的可疑連接，可以幫助你確定牽扯到這起入侵事件的主機(jī)，找出系統(tǒng)中的哪些帳戶可能被侵入了。 secure 某些些版本的UNIX系統(tǒng)(例如：RedHat Linux)會將tcp_wrappers信息記錄到secure文件中。如果系統(tǒng)的inetd精靈使用tcp_wrappers,每當(dāng)有連接請求超出了inetd提供的服務(wù)范圍，就會在這個文件中加入一條日志信息。通過檢查這個日志文件，可以發(fā)現(xiàn)一些異常服務(wù)請求，或者從陌生的主機(jī)發(fā)起的連接。 審查日志，最基本的一條就是檢查異�，F(xiàn)象。 5.檢查網(wǎng)絡(luò)嗅探器 入侵者侵入一個UNIX系統(tǒng)后，為了獲得用戶名和密碼信息，一般會在系統(tǒng)上安裝一個網(wǎng)絡(luò)監(jiān)視程序，這種程序就叫作嗅探器或者數(shù)據(jù)包嗅探器。對于NT，入侵者會使用遠(yuǎn)程管理程序?qū)崿F(xiàn)上述目的。 判斷系統(tǒng)是否被安裝了嗅探器，首先要看當(dāng)前是否有進(jìn)程使你的網(wǎng)絡(luò)接口處于混雜（Promiscuous）模式下。如果任何網(wǎng)絡(luò)接口處于promiscuous模式下，就表示可能系統(tǒng)被安裝了網(wǎng)絡(luò)嗅探器。注意如果你重新啟動了系統(tǒng)或者在單用戶模式下操作，可能無法檢測到Promiscuous模式。使用ifconfig命令就可以知道系統(tǒng)網(wǎng)絡(luò)接口是否處于promoscuous模式下(注意一定使用沒有被侵入者修改的ifconfig): #/path-of-clean-ifconfig/ifconfig -a 有一些工具程序可以幫助你檢測系統(tǒng)內(nèi)的嗅探器程序： cpm(Check Promiscuous Mode)--UNIX可以從以下地址下載： ftp://coast.cs.purdue.edu/pub/tools/unix/cpm/ ifstatus--UNIX可以從以下地址下載： ftp://coast.cs.purdue.edu/pub/tools/unix/ifstatus/ neped.c可以從以下地址的到： ftp://apostols.org/AposTolls/snoapshots/neped/neped.c 一定要記住一些合法的網(wǎng)絡(luò)監(jiān)視程序和協(xié)議分析程序也會把網(wǎng)絡(luò)接口設(shè)置為promiscuous模式。檢測到網(wǎng)絡(luò)接口處于promicuous模式下，并不意味著系統(tǒng)中有嗅探器程序正在運(yùn)行。 但是，在Phrack雜志的一篇文章:(Phrack Magazine Volume 8,Issue 53 July 8,1998,article 10 of 15, Interface Promiscuity Obscurity)中,有人提供了一些針對FreeBSD、Linux、HP-UX、IRIX和Solaris系統(tǒng)的模塊，可以擦除IFF_PROMISC標(biāo)志位，從而使嗅探器逃過此類工具的檢查。以此，即使使用以上的工具，你沒有發(fā)現(xiàn)嗅探器，也不能保證攻擊者沒有在系統(tǒng)中安裝嗅探器。 現(xiàn)在，LKM(Loadable Kernel Model,可加載內(nèi)核模塊)的廣泛應(yīng)用，也增加了檢測難度。關(guān)于這一方面的檢測請參考使用KSAT檢測可加載內(nèi)核模塊。 還有一個問題應(yīng)該注意，嗅探器程序的日志文件的大小會急劇增加。使用df程序查看文件系統(tǒng)的某個部分的大小是否太大，也可以發(fā)現(xiàn)嗅探器程序的蛛絲馬跡。建議使用lsof程序發(fā)現(xiàn)嗅探器程序打開的日志文件和訪問訪問報文設(shè)備的程序。在此，還要注意:使用的df程序也應(yīng)該是干凈的。 一旦在系統(tǒng)中發(fā)現(xiàn)了網(wǎng)絡(luò)嗅探器程序，我們建議你檢查嗅探器程序的輸出文件確定哪些主機(jī)受到攻擊者威脅。被嗅探器程序捕獲的報文中目的主機(jī)將受到攻擊者的威脅，不過如果系統(tǒng)的密碼是通過明文傳輸，或者目標(biāo)主機(jī)和源主機(jī)互相信任，那么源主機(jī)將受到更大的威脅。 通常嗅探器程序的日志格式如下： -- TCP/IP LOG -- TM: Tue Nov 15 15:12:29 -- PATH: not_at_risk.domain.com(1567) => at_risk.domain.com(telnet) 使用如下命令可以從嗅探器程序的日志文件中得到受到威脅的主機(jī)列表： % grep PATH: $sniffer_log_file | awk '{print $4}' | awk -F( '{print $1}'| sort -u 你可能需要根據(jù)實際情況對這個命令進(jìn)行一些調(diào)整。一些嗅探器程序會給日志文件加密，增加了檢查的困難。 你應(yīng)該知道不只是在嗅探器程序日志文件中出現(xiàn)的主機(jī)受到攻擊者的威脅，其它的主機(jī)也可能受到威脅。 建議你參http://www.cert.org/advisories/CA-94.01.ongoing.network.monitoring.attacks.html獲得更為詳細(xì)的信息。 6.檢查網(wǎng)絡(luò)上的其它系統(tǒng) 除了已知被侵入的系統(tǒng)外，你還應(yīng)該對網(wǎng)絡(luò)上所有的系統(tǒng)進(jìn)行檢查。主要檢查和被侵入主機(jī)共享網(wǎng)絡(luò)服務(wù)(例如:NIX、NFS)或者通過一些機(jī)制(例如：hosts.equiv、.rhosts文件，或者kerberos服務(wù)器)和被侵入主機(jī)相互信任的系統(tǒng)。 建議你使用CERT的入侵檢測檢查列表進(jìn)行這一步檢查工作。 http://www.cert.org/tech_tips/intruder_detection_checklist.html http://www.cert.org/tech_tips/win_intruder_detection_checklist.html 網(wǎng)絡(luò)的神奇作用吸引著越來越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來越嚴(yán)峻的考驗―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項技術(shù)都需要適時應(yīng)勢，對應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。 |
溫馨提示：喜歡本站的話，請收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個人學(xué)習(xí)測試使用，請在下載后24小時內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負(fù)，請支持購買微軟正版軟件！
本站所有資源全部來自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請及時通知我們(),我們會及時處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機(jī)站 關(guān)于本站
