搜索

[20963] 2019-09-17_【干货】日志管理与分析（一）——日志收集及来源

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-09-17_【干货】日志管理与分析（一）——日志收集及来源 【 干 货 】 日 志 管 理 与 分 析 （ 一 ） — — 日 志 收 集 及 来 源 原 创   l e m o n   S e c P u l s e 安 全 脉 搏   2 0 1 9 - 0 9 - 1 7 对 广 大 I T 工 作 者 ， 尤 其 是 运 维 和 安 全 人 员 来 说 ， “ 日 志 日 志 ” 是 一 个 再 熟 悉 不 过 的 名 词 。 日 志 从 哪 来 ？ 机 房 中 的 各 种 软 件 （ 系 统 、 防 火 墙 ） 和 硬 件 （ 交 换 机 、 路 由 器 等 ） ， 都 在 不 断 地 生 成 日 志 。 I T 安 全 业 界 的 无 数 实 践 告 诉 我 们 ， 健 全 的 日 志 记 录 和 分 析 系 统 ， 是 系 统 正 常 运 营 、 优 化 以 及 安 全 事 故 响 应 的 基 础 健 全 的 日 志 记 录 和 分 析 系 统 ， 是 系 统 正 常 运 营 、 优 化 以 及 安 全 事 故 响 应 的 基 础 ， 虽 然 安 全 系 统 厂 商 为 我 们 提 供 了 五 花 八 门 的 解 决 方 案 ， 但 基 石 仍 是 具 有 充 足 性 、 可 用 性 、 安 全 性 的 日 志 记 录 系 统 。 实 际 工 作 中 ， 许 多 单 位 内 部 对 日 志 并 没 有 充 分 的 认 识 ， 安 全 建 设 更 多 在 于 投 入 设 备 ， 比 如 防 火 墙 、 I D S 、 I P S 、 防 病 毒 软 件 等 ， 被 动 地 希 望 这 些 系 统 帮 助 我 们 完 成 一 切 工 作 ， 但 是 俗 话 说 的 好 ： “ 魔 高 一 尺 道 高 一 丈 ” ， 以 特 征 码 和 预 定 义 规 则 为 基 础 的 上 述 设 备 ， 在 防 护 方 面 永 远 落 在 攻 击 者 后 面 ， 防 微 杜 渐 才 是 真 正 的 出 路 。 作 为 一 名 合 格 的 安 全 人 员 ， 了 解 日 志 的 概 念 ， 了 解 日 志 的 配 置 和 分 析 方 法 ， 是 发 现 威 胁 、 抵 御 攻 击 的 重 要 技 作 为 一 名 合 格 的 安 全 人 员 ， 了 解 日 志 的 概 念 ， 了 解 日 志 的 配 置 和 分 析 方 法 ， 是 发 现 威 胁 、 抵 御 攻 击 的 重 要 技 能 ， 有 了 这 方 面 的 深 刻 认 识 ， 各 种 自 动 化 安 全 解 决 方 案 才 能 真 正 地 发 挥 效 能 。 能 ， 有 了 这 方 面 的 深 刻 认 识 ， 各 种 自 动 化 安 全 解 决 方 案 才 能 真 正 地 发 挥 效 能 。 近 日 ， 有 幸 拜 读 《 日 志 管 理 与 分 析 权 威 指 南 》 《 日 志 管 理 与 分 析 权 威 指 南 》 一 书 ， 本 书 由 三 位 业 界 资 深 安 全 专 家 编 著 ， 从 日 志 的 基 本 概 念 开 始 ， 由 浅 入 深 讲 述 了 整 个 日 志 生 命 周 期 的 详 细 过 程 ， 从 日 志 的 概 念 、 数 据 概 念 、 人 工 分 析 日 志 、 以 及 日 志 与 合 规 的 依 从 性 、 自 动 化 分 析 日 志 引 申 到 S I E M 日 志 管 理 。 而 其 一 作 者 A n t o n   A . C h u v a k i n 博 士 是 日 志 管 理 、 S I E M 和 P C I   D S S 依 从 性 领 域 公 认 的 安 全 专 家 ， 他 的 博 客 w w w . s e c u r i t y w a r r i o r . o r g 是 该 领 域 中 最 受 欢 迎 的 博 客 之 一 ， 下 面 附 一 张 A n t o n A . C h u v a k i n 博 士 的 博 客 截 图 。 题 主 并 不 是 日 志 分 析 专 家 ， 只 是 借 着 学 习 后 的 总 结 分 享 出 来 ， 每 个 人 在 不 同 时 机 看 的 东 西 不 一 样 ， 欢 迎 指 正 ~
0 1 日 志 数 据 简 单 地 说 ， 日 志 消 息 就 是 计 算 机 系 统 、 设 备 、 软 件 等 在 某 种 触 发 下 反 应 生 成 的 东 西 。 确 切 的 触 发 在 很 大 程 度 上 取 决 于 日 志 消 息 的 来 源 。 例 如 ， U N i x 操 作 系 统 会 记 录 用 户 登 录 和 注 销 的 消 息 ， 防 火 墙 将 记 录 A C L 通 过 和 拒 绝 的 消 息 ， 磁 盘 存 储 系 统 在 故 障 发 生 或 者 在 某 些 系 统 认 为 将 会 发 生 故 障 的 情 况 下 会 生 成 日 志 消 息 。 日 志 数 据 就 是 一 条 日 志 消 息 里 用 来 告 诉 你 为 什 么 生 成 消 息 的 信 息 ， 例 如 ， w e b 服 务 器 一 般 会 在 有 人 访 问 w e b 页 面 请 求 资 源 （ 图 片 、 文 件 等 等 ） 的 时 候 记 录 日 志 。 如 果 用 户 访 问 的 页 面 需 要 通 过 认 证 ， 日 志 消 息 将 会 包 含 用 户 名 。   日 志 消 息 可 以 分 成 下 面 的 几 种 通 用 类 型 ： 信 息 ： 信 息 ： 这 种 类 型 的 消 息 被 设 计 成 告 诉 用 户 和 管 理 员 一 些 没 有 风 险 的 事 情 发 生 了 。 例 如 ， C i s c o   I O S 将 在 系 统 重 启 的 时 候 生 成 消 息 。 不 过 ， 需 要 注 意 的 是 ， 如 果 重 启 发 生 在 非 正 常 维 护 时 间 或 是 业 务 时 间 ， 就 有 发 出 报 警 的 理 由 。 调 试 ： 调 试 ： 软 件 系 统 在 应 用 程 序 代 码 运 行 时 发 生 调 试 信 息 ， 是 为 了 给 软 件 开 发 人 员 提 供 故 障 检 测 和 定 位 问 题 的 帮 助 。 警 告 ： 警 告 ： 警 告 消 息 是 在 系 统 需 要 或 者 丢 失 东 西 ， 而 又 不 影 响 操 作 系 统 的 情 况 下 发 生 的 。 错 误 ： 错 误 ： 错 误 日 志 消 息 是 用 来 传 达 在 计 算 机 系 统 中 出 现 的 各 种 级 别 的 错 误 。 例 如 ， 操 作 系 统 在 无 法 同 步 缓 冲 区 到 磁 盘 的 时 候 会 生 成 错 误 信 息 。 警 报 ： 警 报 ： 警 报 表 明 发 生 了 一 些 有 趣 的 事 ， 一 般 情 况 下 ， 警 报 是 属 于 安 全 设 备 和 安 全 相 关 系 统 的 ， 但 并 不 是 硬 性 规 定 。 在 计 算 机 网 络 中 可 能 会 运 行 一 个 入 侵 防 御 系 统 I P S ， 检 查 所 有 入 站 的 流 量 。 它 将 根 据 数 据 包 的 内 容 判 断 是 否 允 许 其 进 行 网 络 连 接 。 如 果 I P S 检 测 到 一 个 恶 意 连 接 ， 可 能 会 采 取 任 何 预 先 配 置 的 处 置 。 I P S 会 记 录 下 检 测 结 果 以 及 所 采 取 的 行 动 。   0 2 日 志 数 据 的 传 输 与 收 集
计 算 机 或 者 其 他 设 备 都 实 现 了 日 志 记 录 子 系 统 ， 能 够 在 确 定 有 必 要 的 时 候 生 成 日 志 消 息 ， 具 体 的 确 定 方 式 取 决 于 设 备 。 另 外 ， 必 须 有 一 个 用 来 接 收 和 收 集 日 志 消 息 的 地 方 ， 这 个 地 方 一 般 被 称 为 日 志 主 机 。 日 志 主 机 是 一 个 计 算 机 系 统 ， 一 般 来 说 可 能 是 l i n u x 和 w i n d o w s 服 务 器 系 统 ， 它 是 集 中 收 集 日 志 消 息 的 地 方 。 使 用 集 中 日 志 收 集 器 的 优 点 如 下 ： 可 以 集 中 存 储 从 多 个 地 方 得 到 的 日 志 消 息 。 可 以 在 上 面 备 份 你 的 日 志 。 可 以 在 上 面 进 行 日 志 数 据 的 分 析 。   那 么 ， 日 志 消 息 如 何 传 输 ？ 最 常 见 的 方 法 是 通 过 最 常 见 的 方 法 是 通 过 s y s l o g 协 议 协 议 。 s y s l o g 协 议 是 日 志 消 息 交 换 的 一 种 标 准 。 常 见 于 L i n u x 系 统 中 ， 也 使 用 在 w i n d o w s 平 台 上 。 s y s l o g 基 本 上 都 实 现 了 客 户 端 和 服 务 端 组 件 ， 两 者 之 间 通 过 用 户 数 据 报 协 议 （ U D P ） 通 信 ， 但 是 为 了 可 靠 传 输 ， 很 多 开 源 和 商 业 s y s l o g 实 现 同 样 也 支 持 传 输 控 制 协 议 （ T C P ） 。 s y s l o g 并 不 是 传 输 和 收 集 日 志 数 据 的 唯 一 机 制 。 例 如 ， 微 软 为 w i n d o w s 开 发 了 自 己 的 日 志 记 录 系 统 ， 称 为 w i n d o w s 事 件 日 志 。 用 户 登 录 注 销 ， 应 用 程 序 消 息 等 都 以 专 有 的 格 式 存 储 。 有 开 源 和 商 业 的 应 用 程 序 用 来 将 w i n d o w s 事 件 日 志 转 换 成 s y s l o g 的 格 式 ， 以 发 送 给 s y s l o g 服 务 器 。 简 单 网 络 管 理 协 议 （ S N M P ） 是 一 种 用 来 管 理 网 络 设 备 的 基 于 标 准 的 协 议 。 数 据 库 已 经 变 成 了 应 用 程 序 存 储 日 志 消 息 的 简 便 途 径 。 应 用 程 序 可 以 将 它 的 日 志 消 息 写 进 数 据 库 模 式 ， 而 不 是 生 成 一 条 s y s l o g 消 息 。 在 某 些 情 况 下 ， s y s l o g 服 务 器 本 身 也 可 以 直 接 写 入 关 系 型 数 据 库 ， 特 别 是 在 结 构 化 存 储 、 分 析 和 报 告 日 志 消 息 的 情 况 下 有 着 极 大 的 优 势 。 最 后 ， 也 有 一 些 专 有 的 日 志 记 录 格 式 。 第 三 方 设 备 和 应 用 程 序 实 现 了 用 于 生 成 和 检 索 日 志 消 息 的 专 有 机 制 。 在 这 个 领 域 ， 供 应 商 可 能 以 C 或 者 j a v a 类 库 的 形 式 给 你 提 供 应 用 编 程 接 口 （ A P I ） ， 或 者 由 你 自 行 实 现 协 议 。 可 将 w i n d o w s 事 件 日 志 看 作 一 种 专 有 格 式 ， 但 时 常 人 们 将 其 看 作 非 官 方 日 志 记 录 标 准 ， 类 似 s y s l o g ， 因 此 这 种 方 式 很 流 行 。 1 .   s y s l o g ： ： 基 于 U D P 的 客 户 端 / 服 务 器 协 议 。 这 是 最 常 见 和 普 遍 的 日 志 记 录 机 制 。 2 .   S N M P ： ： S N M P 最 初 是 为 了 管 理 网 络 中 的 设 备 而 创 造 的 ， 然 而 多 年 来 许 多 非 网 络 系 统 已 采 用 S N M P 作 为 发 出 日 志 消 息 和 其 他 状 态 类 型 数 据 的 方 式 。 3 .   w i n d o w s 事 件 日 志 ： 事 件 日 志 ： 微 软 的 专 有 日 志 记 录 格 式 。 4 .   数 据 库 ： 数 据 库 ： 以 结 构 化 的 方 式 来 存 储 和 检 索 日 志 消 息 。 常 用 的 专 有 协 议 ： L E A ： ： 日 志 提 取 A P I 是 C h e c k p o i n t 用 于 从 它 的 防 火 墙 和 安 全 产 品 线 收 集 日 志 的 A P I 。 S D E E ： ： 安 全 设 备 事 件 交 换 是 思 科 用 于 从 它 的 I P S 设 备 产 品 线 收 集 日 志 消 息 的 基 于 可 扩 展 标 记 语 言 的 协 议 。 E - S t r e a m e r ： ： E - S t r e a m e r 是 S o u r c e f i r e 公 司 为 其 I P S 开 发 的 专 有 协 议 。 选 用 以 s y s l o g 方 式 采 集 日 志 数 据 非 常 方 便 ， 且 具 有 下 述 原 因 ： 第 一 ， S y s l o g 协 议 广 泛 应 用 在 编 程 上 ， 许 多 日 志 函 数 都 已 采 纳 s y s l o g 协 议 ， s y s l o g 用 于 许 多 保 护 措 施 中 。 可 以 通 过 它 记 录 任 何 事 件 。 通 过 系 统 调 用 记 录 用 户 自 行 开 发 的 应 用 程 序 的 运 行 状 况 。 研 究 和 开 发 一 些 系 统 程 序 是 日 志 系 统 的 重 点 之 一 ， 例 如 网 络 设 备 日 志 功 能 将 网 络 应 用 程 序 的 重 要 行 为 向   s y s l o g 接 口 呼 叫 并 记 录 为 日 志 ， 大 部 分 内 部 系 统 工 具 ( 如 邮 件 和
打 印 系 统 ) 都 是 如 此 生 成 信 息 的 ， 许 多 新 增 的 程 序 ( 如 t c p w r a p p e r s 和 S S H ) 也 是 如 此 工 作 的 。 通 过 s y s l o g d ( 负 责 大 部 分 系 统 事 件 的 守 护 进 程 ) ， 将 系 统 事 件 可 以 写 到 一 个 文 件 或 设 备 中 ， 或 给 用 户 发 送 一 个 信 息 。 它 能 记 录 本 地 事 件 或 通 过 网 络 记 录 到 远 端 设 备 上 的 事 件 。 第 二 ， 当 今 网 络 设 备 普 遍 支 持 s y s l o g 协 议 。 几 乎 所 有 的 网 络 设 备 都 可 以 通 过 s y s l o g 协 议 ， 将 日 志 信 息 以 用 户 数 据 报 协 议 ( U D P ) 方 式 传 送 到 远 端 服 务 器 ， 远 端 接 收 日 志 服 务 器 必 须 通 过 s y s l o g d 监 听 U D P   端 口 5 1 4 ， 并 根 据 s y s l o g . c o n f 配 置 文 件 中 的 配 置 处 理 本 机 ， 接 收 访 问 系 统 的 日 志 信 息 ， 把 指 定 的 事 件 写 入 特 定 文 件 中 ， 供 后 台 数 据 库 管 理 和 响 应 之 用 。 意 味 着 可 以 让 任 何 事 件 都 登 录 到 一 台 或 多 台 服 务 器 上 ， 以 备 后 台 数 据 库 用 o f f - l i n e ( 离 线 )   方 法 分 析 远 端 设 备 的 事 件 。 第 三 ， S y s l o g 协 议 和 进 程 的 最 基 本 原 则 就 是 简 单 ， 在 协 议 的 发 送 者 和 接 收 者 之 间 不 要 求 严 格 的 相 互 协 调 。 事 实 上 ， s y s l o g 信 息 的 传 递 可 以 在 接 收 器 没 有 被 配 置 甚 至 没 有 接 收 器 的 情 况 下 开 始 。 反 之 ， 在 没 有 清 晰 配 置 或 定 义 的 情 况 下 ， 接 收 器 也 可 以 接 收 到 信 息 。 0 3 日 志 来 源 日 志 来 源 主 要 分 为 两 类 ： 基 于 基 于 “ 推 推 ” 基 于 基 于 “ 拉 拉 ” 对 于 基 于 “ 推 ” 的 日 志 来 源 ， 设 备 或 者 应 用 程 序 向 本 地 磁 盘 或 者 通 过 网 络 发 出 消 息 。 如 果 通 过 网 络 ， 你 必 须 配 备 一 个 日 志 收 集 器 来 接 收 消 息 。 3 种 主 要 的 基 于 “ 推 ” 来 源 是 s y s l o g 、 S N M P 和 w i n d o w s 事 件 日 志 。 日 志 消 息 通 过 这 些 协 议 传 输 。 从 技 术 上 说 ， w i n d o w s 事 件 日 志 包 含 协 议 、 传 输 机 制 、 存 储 和 读 取 。 对 于 基 于 “ 拉 ” 的 日 志 来 源 ， 应 用 程 序 从 来 源 拉 取 日 志 消 息 。 这 种 方 法 几 乎 总 是 依 赖 客 户 - 服 务 器 模 型 。 以 这 种 方 式 运 行 的 系 统 通 常 以 专 有 格 式 保 存 日 志 数 据 。 例 如 ， C h e c k p o i n t 提 供 O P S E C   C 程 序 库 ， 开 发 人 员 可 以 用 它 编 写 应 用 程 序 ， 拉 取 C h e c k p o i n t 防 火 墙 日 志 。 其 他 产 品 使 用 M S S Q L 、 Q r a c l e 、 M y s q l 等 数 据 库 存 储 数 据 。 从 数 据 库 拉 取 日 志 稍 微 容 易 一 些 ， 可 以 用 脚 本 或 程 序 完 成 。 上 面 提 到 的 三 种 最 常 见 的 日 志 来 源 协 议 ， 首 先 是 s y s l o g 。 s y s l o g 最 初 是 用 于 收 集 调 试 信 息 的 ， 因 此 ， 它 对 于 安 全 日 志 分 析 有 一 些 限 制 ， 不 是 最 优 的 ， 尽 管 如 此 ， s y s l o g 已 经 成 为 了 基 于 L i n u x 的 系 统 中 记 录 应 用 程 序 事 件 的 最 常 用 方 法 。 S N M P 设 计 用 于 满 足 网 络 管 理 员 不 断 增 长 的 需 求 。 S N M P 几 乎 集 成 到 所 有 你 能 想 到 的 网 络 中 ， 包 括 许 多 网 络 安 全 设 备 。 S N M P 是 查 询 和 配 置 设 备 的 一 种 协 议 。 虽 然 S N M P 协 议 整 体 来 说 不 是 一 个 日 志 记 录 系 统 ， 但 是 可 以 看 作 日 志 消 息 的 类 型 。 虽 然 许 多 网 络 设 备 能 够 通 过 s y s l o g 发 送 事 件 消 息 ， 但 是 有 些 设 备 不 能 ， 特 别 是 旧 设 备 ， 因 此 S N M P 是 从 设 备 获 得 其 他 途 径 不 能 收 集 的 事 件 信 息 的 一 种 方 式 。 M i c r o s o f t 在 很 久 以 前 就 决 定 要 创 造 自 己 的 日 志 生 成 和 收 集 系 统 。 这 一 系 统 被 称 作 事 件 日 志 。 现 在 的 事 件 日 志 有 一 些 高 级 特 性 。 事 件 日 志 主 要 用 于 收 集 和 查 看 两 类 日 志 ：
W i n d o w s 日 志 应 用 程 序 日 志 W i n d o w s 日 志 至 少 包 括 应 用 程 序 、 安 全 和 系 统 。 最 重 要 的 是 安 全 日 志 ， 登 录 、 注 销 、 资 源 访 问 记 录 的 地 方 。 一 、 系 统 日 志 一 、 系 统 日 志 : 记 录 系 统 中 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 同 时 还 可 以 监 视 系 统 中 发 生 的 事 件 。 系 统 日 志 包 括 系 统 日 志 、 应 用 程 序 日 志 和 安 全 日 志 。 二 、 网 站 日 志 二 、 网 站 日 志 : 1 . 记 录 w e b 服 务 器 接 收 处 理 请 求 以 及 运 行 时 错 误 等 各 种 原 始 信 息 以 . l o g 结 尾 的 文 件 。 我 们 通 过 对 日 志 进 行 统 计 、 分 析 、 综 合 ， 就 能 有 效 地 掌 握 网 站 运 行 状 况 ， 发 现 和 排 除 错 误 原 因 ， 了 解 客 户 访 问 分 布 等 ， 更 好 的 加 强 系 统 的 维 护 和 管 理 。 2 . 日 志 也 是 了 解 搜 索 引 擎 工 作 原 理 和 搜 索 引 擎 对 网 页 抓 取 频 率 的 最 佳 途 径 。 通 过 这 个 文 件 ， 可 以 了 解 搜 索 引 擎 什 么 时 间 、 抓 取 了 哪 些 页 面 ， 以 及 可 以 知 道 是 主 搜 索 蜘 蛛 还 是 从 搜 索 蜘 蛛 抓 取 了 您 的 网 站 等 的 信 息 。 3 . 通 过 不 同 的 l o g 日 志 级 别 来 记 录 以 往 的 操 作 行 为 ， 可 以 很 轻 易 地 分 析 得 到 ： 4 . 通 过 分 析 网 站 日 志 L o g 文 件 我 们 可 以 看 到 用 户 、 搜 索 引 擎 蜘 蛛 访 问 网 站 和 管 理 人 员 操 作 的 行 为 数 据 ， 这 些 数 据 能 让 我 们 分 析 出 用 户 和 蜘 蛛 对 网 站 的 偏 好 以 及 网 站 安 全 操 作 及 健 康 情 况 。 因 此 在 网 站 日 志 分 析 中 ， 我 们 主 要 需 要 分 析 的 是 蜘 蛛 行 为 和 操 作 行 为 。 5 . 在 分 析 日 志 时 ， 对 于 单 日 日 志 文 件 我 们 需 要 分 析 的 内 容 有 ： 访 问 次 数 、 停 留 时 间 、 抓 取 量 、 目 录 抓 取 统 计 、 页 面 抓 取 统 计 、 蜘 蛛 访 问 I P 、 H T T P 状 态 码 、 蜘 蛛 活 跃 时 段 、 蜘 蛛 爬 取 路 径 等 ； 对 于 多 日 日 志 文 件 我 们 需 要 分 析 的 内 容 有 ： 蜘 蛛 访 问 次 数 趋 势 、 停 留 时 间 趋 势 、 整 体 抓 取 趋 势 、 各 目 录 抓 取 趋 势 、 抓 取 时 间 段 、 蜘 蛛 活 跃 周 期 等 。 网 站 日 志 数 据 分 析 解 读 ： 网 站 日 志 数 据 分 析 解 读 ： 1 、 访 问 次 数 、 停 留 时 间 、 抓 取 量 、 访 问 次 数 、 停 留 时 间 、 抓 取 量 从 这 三 项 数 据 中 我 们 可 以 得 知 ： 平 均 每 次 抓 取 页 面 数 、 单 页 抓 取 停 留 时 间 和 平 均 每 次 停 留 时 间 。 平 均 每 次 抓 取 页 面 数 = 总 抓 取 量 / 访 问 次 数
单 页 抓 取 停 留 = 每 次 停 留 / 每 次 抓 取 平 均 每 次 停 留 时 间 = 总 停 留 时 间 / 访 问 次 数 从 这 些 数 据 我 们 可 以 看 出 蜘 蛛 的 活 跃 程 度 、 亲 和 程 度 、 抓 取 深 度 等 ， 总 访 问 次 数 、 停 留 时 间 、 抓 取 量 越 高 、 平 均 抓 取 页 面 、 平 均 停 留 时 间 ， 表 明 网 站 页 面 越 受 搜 索 引 擎 喜 欢 。 而 单 页 抓 取 停 留 时 间 表 明 网 站 页 面 访 问 速 度 ， 时 间 越 长 ， 表 明 网 站 访 问 速 度 越 慢 ， 对 搜 索 引 擎 抓 取 收 录 较 不 利 ， 我 们 应 尽 量 提 高 网 页 加 载 速 度 ， 减 少 单 而 立 停 留 时 间 ， 让 爬 虫 资 源 更 多 的 去 抓 取 收 录 。 2 、 目 录 抓 取 统 计 、 目 录 抓 取 统 计 通 过 日 志 分 析 我 们 可 以 看 到 网 站 哪 些 目 录 受 蜘 蛛 喜 欢 、 抓 取 目 录 深 度 、 重 要 页 面 目 录 抓 取 状 况 、 无 效 页 面 目 录 抓 取 状 况 等 。 对 于 重 要 目 录 ， 我 们 需 要 通 过 内 外 调 整 增 加 权 重 及 爬 取 ； 对 于 无 效 页 面 ， 在 r o b o t s . t x t 中 进 行 屏 蔽 。 3 、 访 问 状 态 码 、 访 问 状 态 码 蜘 蛛 经 常 出 现 的 状 态 码 如 3 0 1 、 4 0 4 等 ， 出 现 这 些 状 态 码 要 及 时 处 理 ， 以 避 免 对 网 站 造 成 坏 的 影 响 。 4 、 蜘 蛛 爬 取 路 径 、 蜘 蛛 爬 取 路 径 在 网 站 日 志 中 我 们 可 以 跟 踪 到 特 定 I P 的 访 问 路 径 ， 则 能 发 现 对 于 本 网 站 结 构 下 蜘 蛛 的 爬 取 路 径 偏 好 。 由 此 ， 我 们 可 以 适 当 的 引 导 蜘 蛛 的 爬 取 路 径 ， 让 蜘 蛛 更 多 的 爬 取 重 要 、 有 价 值 、 新 更 新 页 面 。 其 中 爬 取 路 径 中 我 们 可 以 分 析 页 面 物 理 结 构 路 径 偏 好 以 及 u r l 逻 辑 结 构 爬 取 偏 好 。 0 4 日 志 存 储 技 术 日 志 的 存 储 和 快 速 检 索 分 析 是 企 业 中 的 一 个 关 键 问 题 。 中 小 企 业 保 存 的 日 志 记 录 会 很 快 地 增 长 到 T B 或 P B 级 。 这 些 数 据 在 企 业 中 会 以 各 种 不 同 的 格 式 存 储 。 开 发 自 己 的 日 志 保 存 策 略 时 ， 应 该 审 视 以 下 各 项 ： 1 ） 评 估 适 用 的 依 从 性 需 求 ： ） 评 估 适 用 的 依 从 性 需 求 ： 在 当 今 的 许 多 行 业 中 ， 诞 生 了 一 大 批 健 全 的 依 从 性 需 求 。 这 方 面 的 例 子 包 括 支 付 卡 行 业 数 据 安 全 标 准 （ P C I D S S ） 。 它 规 定 了 非 常 具 体 的 日 志 保 存 周 期 - - 1 年 。 P C I   D S S 涉 及 到 日 志 需 求 的 内 容 我 在 《 日 志 管 理 与 分 析 （ 二 ） 》 中 会 涉 及 到 。 2 ） 评 估 企 业 的 风 险 态 势 ： ） 评 估 企 业 的 风 险 态 势 ： 内 部 和 外 部 的 风 险 驱 动 网 络 不 同 部 分 的 保 存 周 期 。 对 企 业 来 说 ， 每 个 风 险 领 域 的 时 间 长 度 以 及 日 志 的 重 要 性 可 能 有 很 大 的 不 同 。 如 果 你 的 日 志 主 要 用 于 内 部 威 胁 调 查 ， 则 需 要 较 长 的 保 存 周 期 。 因 为 事 故 常 常 是 多 年 都 未 曾 发 现 的 。 3 ） 关 注 各 种 日 志 来 源 和 生 成 日 志 的 大 小 ： ） 关 注 各 种 日 志 来 源 和 生 成 日 志 的 大 小 ： 防 火 墙 、 服 务 器 、 数 据 库 、 w e b 代 理 服 务 ， 不 仅 基 于 需 要 ， 也 基 于 典 型 日 志 体 积 及 每 个 日 志 记 录 的 大 小 和 类 型 。 各 种 设 备 或 应 用 程 序 生 成 的 日 志 体 积 有 很 大 的 不 同 ， 例 如 ， 主 防 火 墙 会 生 成 大 量 的 日 志 内 容 ， 因 此 为 了 满 足 此 数 据 的 长 期 保 存 需 求 ， 通 常 只 存 储 3 0 天 的 日 志 。 然 而 ， 应 该 仔 细 评 估 某 些 企 业 的 依 从 性 需 求 以 及 主 防 火 墙 的 关 键 程 度 ， 决 定 是 否 采
用 更 长 的 保 存 周 期 。 4 ） 评 估 可 用 的 存 储 选 项 ： ） 评 估 可 用 的 存 储 选 项 ： 日 志 存 储 选 项 包 括 硬 盘 、 D V D 、 W O R M 、 磁 带 、 R D B M S 、 日 志 特 定 存 储 ， 以 及 基 于 云 的 存 储 。 这 方 面 的 决 策 主 要 取 决 于 价 格 、 容 量 、 访 问 速 度 ， 最 重 要 的 是 以 合 理 的 周 期 得 到 正 确 日 志 记 录 的 能 力 。 企 业 中 的 日 志 保 存 的 时 间 和 空 间 需 求 是 压 倒 一 切 的 第 一 需 求 。   4 . 1 日 志 存 储 格 式 日 志 存 储 格 式 我 们 的 网 络 设 备 、 应 用 程 序 以 及 操 作 系 统 产 生 多 种 不 同 的 日 志 格 式 ， 在 许 多 情 况 下 ， 日 志 会 被 存 储 为 基 于 文 本 、 二 进 制 或 者 压 缩 的 格 式 。 4 . 1 . 1   基 于 文 本 的 日 志 文 件 基 于 文 本 的 日 志 文 件 基 于 文 本 的 日 志 记 录 是 目 前 最 丰 富 的 日 志 类 型 ， 这 归 功 于 生 成 这 类 日 志 时 较 低 的 系 统 成 本 ， 以 及 现 有 的 许 多 计 算 机 语 言 中 包 含 了 可 以 很 轻 松 地 生 成 基 于 文 本 日 志 的 框 架 。 许 多 流 行 的 系 统 采 用 了 基 于 文 本 的 日 志 文 件 格 式 ， 因 为 这 种 格 式 有 着 许 多 的 优 点 ： 应 用 程 序 写 入 基 于 文 本 的 日 志 文 件 ， 从 C P U 以 及 I / O 资 源 来 说 代 价 很 低 。 文 本 格 式 是 典 型 可 读 格 式 ， 可 用 常 规 文 本 工 具 （ 如 g r e p 和 a w k ， 都 是 各 种 l u n i x 操 作 系 统 变 种 的 固 有 工 具 ） 处 理 和 查 阅 。 许 多 常 见 的 基 于 文 本 的 日 志 格 式 已 经 存 在 ， 例 如 s y s l o g 。 使 得 运 营 和 安 全 团 队 易 于 使 用 一 种 通 用 方 法 来 集 中 化 以 及 解 析 日 志 ， 创 造 一 个 更 完 善 的 日 志 管 理 系 统 。 1 ） 扁 平 文 本 文 件 ） 扁 平 文 本 文 件 扁 平 文 本 文 件 在 许 多 方 面 上 是 一 个 扁 平 的 无 模 式 文 件 ， 可 能 遵 循 某 种 常 见 模 式 或 自 由 格 式 。 系 统 通 常 会 创 建 一 个 新 日 志 文 件 ， 并 持 续 向 其 追 加 写 入 ， 直 到 磁 盘 空 间 不 足 或 某 个 系 统 进 程 指 示 系 统 开 始 一 个 新 日 志 文 件 并 将 当 前 文 件 存 档 。 这 种 格 式 倾 向 于 以 时 间 先 后 排 序 ， 最 早 发 生 的 事 件 位 于 文 件 开 始 处 ， 最 近 发 生 的 事 件 位 于 文 件 末 尾 。 许 多 系 统 采 用 的 较 常 用 格 式 之 一 是 s y s l o g 格 式 。 我 们 知 道 ， 许 多 服 务 器 配 置 为 使 用 s y s l o g 的 5 1 4 端 口 ， 通 过 用 户 数 据 报 协 议 U D P 或 传 输 控 制 协 议 T C P 发 送 自 己 的 日 志 数 据 。 通 过 s y s l o g 发 送 的 日 志 在 发 送 之 前 保 存 在 磁 盘 上 ， 具 有 非 常 简 单 的 特 殊 格 式 。 使 用 扁 平 文 本 文 件 长 期 存 储 日 志 数 据 的 显 著 优 势 之 一 是 ， 可 以 使 用 大 量 工 具 来 阅 读 和 审 核 这 种 格 式 的 数 据 。 每 个 平 台 都 有 许 多 工 具 可 以 轻 松 访 问 和 读 取 此 类 格 式 的 文 件 。 如 果 你 在 未 来 5 、 7 或 1 0 年 需 要 去 阅 读 或 审 核 数 据 ， 需 要 能 够 处 理 和 关 联 事 件 记 录 的 工 具 ， 这 一 点 就 变 得 非 常 重 要 。  
2 ） 索 引 扁 平 文 本 文 件 企 业 在 扁 平 文 本 文 件 上 很 快 就 会 遇 到 的 一 个 局 限 性 是 从 扁 平 文 本 文 件 中 快 速 查 询 、 排 序 、 检 索 关 键 元 素 。 随 着 日 志 文 件 迅 速 增 至 G B 、 T B 甚 至 P B 级 别 ， 再 使 用 传 统 的 g r e p 、 a w k 和 基 于 文 本 的 搜 索 工 具 会 让 人 失 去 耐 心 ， 变 成 一 个 极 其 耗 时 的 过 程 。 索 引 文 本 文 件 是 一 种 从 日 志 文 件 中 企 业 数 据 的 方 式 ， 它 使 日 志 的 关 键 元 素 能 被 快 速 查 询 。 许 多 企 业 可 能 再 企 业 成 长 和 开 始 集 中 日 志 信 息 时 ， 很 快 发 现 需 要 结 构 来 生 成 报 表 ， 以 及 在 超 出 保 存 周 期 时 销 毁 日 志 数 据 ， 从 而 开 始 采 用 索 引 文 本 日 志 文 件 。 索 引 文 本 文 件 具 备 扁 平 文 本 文 件 的 许 多 优 点 ， 具 备 快 速 数 据 插 入 能 力 ， 并 保 持 人 类 可 读 的 数 据 格 式 。 索 引 文 本 日 志 文 件 的 一 个 例 子 - O S S E C / v a r / o s s e c / l o g s / a l e r t s / 2 0 1 1 / v a r / o s s e c / l o g s / a l e r t s / 2 0 1 1 / j a n / v a r / o s s e c / l o g s / a l e r t s / 2 0 1 1 / f e b / v a r / o s s e c / l o g s / a l e r t s / 2 0 1 1 / m a r . . . 4 . 1 . 2   二 进 制 文 件 二 进 制 文 件 顾 名 思 义 ， 二 进 制 日 志 文 件 是 应 用 程 序 生 成 的 极 其 可 读 日 志 文 件 ， 需 要 专 有 的 工 具 或 程 序 去 阅 读 或 处 理 他 们 ， 在 各 种 环 境 中 较 常 见 的 二 进 制 日 志 文 件 的 例 子 包 括 M i c r o m o f t   I n t e r n e t 信 息 服 务 （ I I S ） 日 志 以 及 w i n d o w s 事 件 日 志 。 在 使 用 大 型 主 机 或 定 制 应 用 程 序 的 许 多 环 境 下 ， 日 志 文 件 也 可 能 被 编 码 为 二 进 制 或 机 器 特 定 格 式 ， 如 广 义 二 进 制 编 码 的 十 进 制 交 换 码 ， 在 I n t e l 和 P C 硬 件 平 台 需 要 工 具 去 解 码 和 阅 读 他 们 。 二 进 制 日 志 文 件 的 长 期 存 储 会 给 企 业 带 来 许 多 挑 战 ， 在 存 储 和 保 存 二 进 制 日 志 文 件 的 原 生 格 式 之 前 需 要 考 虑 的 问 题 如 下 ： 未 来 5 、 7 甚 至 1 0 年 后 阅 读 这 些 日 志 的 工 具 的 可 用 性 。 从 现 在 开 始 的 1 0 年 内 ， 保 留 一 台 w i n d o w s   N T 服 务 器 来 阅 读 遗 留 的 i i s 6 . 0 w e b 服 务 器 日 志 ， 并 进 行 确 证 分 析 ， 几 乎 是 不 可 能 的 。 二 进 制 日 志 文 件 在 磁 盘 空 间 利 用 上 很 高 效 ， 然 而 ， 无 法 进 行 很 大 的 压 缩 。 压 缩 的 二 进 制 文 件 的 大 小 可 能 是 原 生 文 件 的 9 0 % 。 相 比 之 下 ， 基 于 文 本 的 文 件 压 缩 后 可 能 仅 占 原 文 件 的 1 0 % 左 右 。 与 文 本 文 件 日 志 记 录 相 比 ， 二 进 制 文 件 所 需 的 存 储 空 间 会 比 较 大 。 示 例 ： 二 进 制 日 志 的 内 容 如 下 图 所 示 ： 二 进 制 日 志 中 的 字 段 如 下 ： E v e n t _ T y p e ： 用 来 设 置 数 据 的 操 作 类 型 。 如 Q u e r y 、 U p d a t e 。 S e r v e r _ i d ： 服 务 器 的 i d L o g _ n a m e ： 用 来 表 明 该 事 件 保 存 的 二 进 制 日 志 文 件 名 称
P o s ： 事 件 的 开 始 位 置 E n d _ l o g _ p o s ： 事 件 的 结 束 位 置 i n f o ： 事 件 信 息 的 可 读 文 本 关 于 更 多 二 进 制 文 件 的 了 解 ， 可 以 参 考 ： h t t p s : / / w w w . c n b l o g s . c o m / y o u z h o n g m i n / p / 9 5 7 5 1 6 7 . h t m l 4 . 1 . 3   压 缩 文 件 压 缩 文 件 大 部 分 生 成 日 志 的 系 统 一 般 会 在 日 志 增 长 到 指 定 大 小 时 ， 或 者 在 每 天 、 每 周 、 每 月 配 置 的 时 间 周 期 以 及 其 他 条 件 下 开 始 一 个 新 的 日 志 文 件 。 之 前 的 日 志 文 件 通 常 会 重 命 名 ， 并 以 未 压 缩 格 式 存 档 于 系 统 硬 盘 中 ， 以 便 使 其 易 于 访 问 和 查 询 ， 随 着 日 志 文 件 的 老 化 ， 某 个 日 志 文 件 与 日 常 报 告 和 日 志 审 核 任 务 的 相 关 性 越 来 越 弱 ， 但 它 对 于 符 合 依 从 性 保 存 周 期 和 执 行 取 证 仍 然 是 关 键 。 在 许 多 情 况 下 啊 ， 我 们 依 然 期 望 日 志 文 件 能 够 快 速 访 问 ， 但 是 在 磁 盘 上 占 用 较 小 空 间 。 在 系 统 中 压 缩 日 志 文 件 就 是 解 决 这 种 需 求 并 节 省 宝 贵 磁 盘 空 间 的 一 种 机 制 。 L I N U X 系 统 的 许 多 标 准 工 具 都 有 等 价 的 压 缩 工 具 集 ， z g r e p 和 z c a t 工 具 可 以 从 压 缩 文 件 中 读 取 和 检 索 数 据 ， 就 像 g r e p 和 c a t 在 未 压 缩 文 件 上 所 做 的 一 样 。 在 选 择 一 个 压 缩 格 式 时 ， 为 了 避 免 陈 旧 过 时 ， 最 好 选 择 一 种 已 经 被 使 用 很 多 年 并 在 多 个 平 台 可 用 的 格 式 ， 在 l i n u x 中 ， t a r 和 z i p 格 式 已 经 使 用 很 长 时 间 ， 而 P K Z i p 格 式 的 压 缩 文 件 是 w i n d o w s 中 常 见 的 压 缩 格 式 。 就 像 二 进 制 文 件 一 样 ， 我 们 应 该 避 免 未 来 用 于 解 压 和 访 问 日 志 数 据 的 工 具 集 过 时 。   4 . 2 日 志 文 件 的 数 据 库 存 储 日 志 文 件 的 数 据 库 存 储 上 面 提 到 了 几 种 存 储 技 术 需 要 直 接 访 问 系 统 和 特 定 的 日 志 审 核 工 具 集 ， 这 样 做 是 很 快 速 和 高 效 的 ， 但 是 在 许 多 情 况 下 ， 我 们 创 建 摘 要 报 告 、 过 滤 器 ， 以 及 在 多 台 主 机 间 关 联 日 志 数 据 的 能 力 常 常 受 到 严 重 的 限 制 。 许 多 企 业 发 现 将 日 志 信 息 写 入 数 据 库 中 ， 这 样 某 种 格 式 的 日 志 信 息 可 以 快 速 搜 索 和 查 询 ， 并 且 便 于 日 志 审 核 过 程 中 前 段 工 具 的 安 装 和 使 用 。 优 点 ： 使 用 数 据 库 来 实 现 日 志 保 存 主 要 的 优 点 之 一 是 易 用 性 ， 你 可 以 使 用 标 准 的 S Q L 查 询 快 速 搜 索 和 检 索 日 志 记 录 。 数 据 库 系 统 具 有 健 全 的 用 户 访 问 和 权 限 系 统 ， 而 且 可 能 已 经 是 企 业 备 份 和 恢 复 计 划 的 一 部 分 ， 现 在 有 许 多 标 准 工 具 可 以 查 询 数 据 库 ， 这 些 工 具 允 许 使 用 一 个 通 用 的 工 具 集 来 查 询 日 志 数 据 ， 而 不 是 使 用 需 要 专 门 知 识 和 权 限 的 平 台 特 定 工 具 。 缺 点 ： 将 日 志 数 据 存 入 数 据 库 系 统 并 不 能 避 免 本 身 的 一 些 问 题 和 风 险 ， 向 数 据 库 中 写 日 志 消 息 会 有 显 著 的 开 销 。 向 数 据 库 中 写 数 据 明 显 比 写 入 本 地 磁 盘 文 本 文 件 慢 ， 主 要 是 因 为 网 络 延 迟 、 S Q L 解 析 、 索 引 更 新 以 及 向 磁 盘 提 交 信 息 。 使 用 数 据 库 存 储 日 志 对 磁 盘 的 空 间 需 求 也 较 高 ， 主 要 是 因 为 实 现 快 速 搜 索 和 检 索 需 要 大 量 索 引 文 件 ， 压 缩 数 据 的 选 项 也 较 为 有 限 。 数 据 库 系 统 在 一 个 企 业 中 往 往 有 多 种 用 途 ， 因 此 需 要 面 临 数 据 库 故 障 、 维 护 以 及 为 支 持 日 志 记 录 或 其 他 内 部 系 统 而 升 级 时 的 数 据 丢 失 风 险 。 当 根 据 保 存 策 略 不 再 需 要 日 志 条 目 时 、 数 据 的 销 毁 也 会 成 为 问 题 。 若 没 有 合 适 的 规 划 或 分 区 ， 删 除 日 志 数 据 可 能 花 费 相 当 长 的 时 间 。 日 志 数 据 一 般 非 常 巨 大 ， 因 此 数 据 的 销 毁 可 能 需 要 数 据 库 系 统 删 除 数 百 万 甚 至 数 十 亿 行 ， 并 更 新 所 有 被 删 除 数 据 的 索 引 。 4 . 3   H a d o o p 日 志 存 储 日 志 存 储 传 统 数 据 库 作 为 日 志 数 据 系 统 面 临 各 种 挑 战 ， 包 括 对 日 志 数 据 增 长 的 可 伸 缩 性 和 高 峰 活 动 时 需 要 的 存 储 和 系 统 容 量 。 与 传 统 数 据 库 系 统 相 比 ， H a d o o p 是 一 个 较 新 的 替 代 方 案 。 传 统 的 数 据 库 系 统 ， 利 用 具 备 快 速 S A N 存 储 的 高 端 硬 件 ， 支 持 大 量 的 并 发 用 户 和 请 求 ， 并 满 足 数 据 存 储 需 求 。 相 比 之 下 ， H a d o o p 系 统 通 常 由 运 行 着 L i n u x 的 商 业 P C   I n t e l 硬 件 构 成 ， 集 群 的 每 个 节 点 只 有 几 个 T B 本 地 存 储 空 间 ， 且 没 有 使 用 R A I D 。 一 个 H a d o o p 集 群 由 一 系 列 从 节 点 和 最 少 一 个 主
节 点 组 成 。 这 样 的 系 统 在 需 要 增 加 空 间 和 容 量 时 ， 可 以 简 单 地 向 集 群 中 添 加 新 的 节 点 。 优 点 ： H a d o o p 有 传 统 数 据 库 系 统 的 很 多 优 点 ， H a d o o p 不 用 在 各 个 系 统 上 使 用 平 台 特 定 的 查 询 工 具 ， 就 能 对 日 志 数 据 进 行 快 速 检 索 和 搜 索 。 H a d o o p 通 过 将 搜 索 请 求 分 布 到 集 群 各 个 节 点 ， 快 速 寻 找 、 处 理 和 检 索 结 果 ， 从 而 在 数 据 尺 寸 增 长 时 很 好 地 实 现 了 可 伸 缩 性 。 H a d o o p 主 要 用 j a v a 构 建 ， 可 以 开 发 工 具 、 实 现 日 志 数 据 的 实 时 查 看 和 分 析 。 H a d o o p 同 样 具 备 容 错 性 ， 通 过 在 集 群 节 点 间 制 作 多 个 备 份 数 据 ， 当 一 个 节 点 出 现 故 障 时 ， 数 据 扔 可 以 从 其 他 节 点 检 索 。 缺 点 ： H a d o o p 是 一 个 强 大 的 日 志 存 储 系 统 ， 但 是 同 样 存 在 许 多 可 能 影 响 企 业 的 缺 点 。 现 有 的 许 多 日 志 记 录 工 具 对 H a d o o p 的 直 接 支 持 有 限 ， R s y s l o g 已 经 添 加 了 向 H a d o o p 集 群 写 入 s y s l o g 消 息 的 功 能 ， 但 是 对 大 部 分 其 他 日 志 源 来 说 ， 依 旧 需 要 开 发 一 个 向 H a d o o p 写 入 日 志 的 工 具 。 可 以 直 接 在 H a d o o p 中 查 询 和 报 告 数 据 的 工 具 集 依 旧 非 常 有 限 。 企 业 需 要 开 发 和 维 护 定 制 的 前 端 系 统 ， 以 便 进 行 实 时 分 析 和 审 核 。   0 5 隐 蔽 日 志 常 识 和 各 项 法 规 制 度 迫 使 我 们 将 工 作 的 重 点 放 在 保 护 日 志 免 于 各 种 攻 击 上 ， 其 实 还 可 以 使 用 一 种 保 护 方 法 就 是 将 日 志 文 件 和 日 志 记 录 基 础 设 施 隐 藏 起 来 ， 使 试 图 破 坏 的 攻 击 者 无 法 看 到 。 加 密 、 基 于 安 全 代 理 的 日 志 收 集 以 及 完 整 性 检 查 是 有 效 的 ， 在 攻 击 者 面 前 隐 藏 自 己 的 日 志 记 录 和 日 志 收 集 架 构 有 一 种 独 特 的 吸 引 力 。 多 年 实 施 “ 蜜 罐 ” 甚 至 整 个 蜜 罐 网 络 的 经 验 告 诉 我 们 ， 大 部 分 攻 击 者 都 没 那 么 幸 运 ， 这 种 掩 护 下 的 基 础 设 施 是 安 全 技 术 的 一 个 罕 见 特 例 - - 防 御 者 可 能 获 得 优 势 。 业 务 攻 击 者 闯 入 l i n u x 或 u n i x 系 统 后 ， 会 首 先 结 束 s y s l o g 守 护 进 程 ， 阻 止 本 地 添 加 新 增 日 志 记 录 和 向 远 程 日 志 服 务 器 传 送 日 志 。 通 过 类 似 “ k i l l a l l   s y s l o g d ” 的 命 令 执 行 。 所 以 ， 在 这 个 小 公 司 网 络 中 ， 系 统 管 理 员 将 编 译 了 s y s l o g 守 护 进 程 的 另 一 个 拷 贝 ， 命 名 为 ” c a c h e f d ” 并 且 用 管 理 员 主 目 录 下 的 配 置 文 件 运 行 。 该 文 件 配 置 为 将 日 志 累 计 到 一 些 非 标 准 的 目 录 下 ( 例 如 / u s r / s r c / k e r n e l ) 。 这 样 ， 能 够 有 效 地 防 止 业 余 攻 击 者 终 止 日 志 记 录 。 这 种 方 案 取 决 于 公 司 确 实 关 注 日 志 文 件 ， 并 且 有 周 期 性 的 日 志 审 核 ， 或 者 具 备 准 时 的 日 志 监 控 能 力 。 高 级 的 安 全 专 家 可 能 会 嘲 笑 这 种 “ 安 全 日 志 记 录 ” ， 但 是 在 “ 蜜 罐 ” 中 观 察 到 的 业 余 攻 击 者 的 方 法 都 没 有 超 出 结 束 s y s l o g 守 护 进 程 ， 并 且 从 没 有 寻 找 其 他 日 志 记 录 机 制 。 因 此 ， 以 上 的 措 施 实 际 上 1 0 0 % 有 效 。 5 . 1 隐 藏 日 志 生 成 隐 藏 日 志 生 成 隐 藏 日 志 生 成 提 出 了 一 个 挑 战 ， 因 为 生 成 日 志 的 程 序 非 常 可 能 存 在 于 一 个 被 入 侵 的 信 息 资 产 上 。 通 过 包 捕 获 采 集 的 日 志 几 乎 都 是 隐 藏 的 ， 但 是 生 成 日 志 这 一 环 节 很 难 隐 蔽 起 来 。 一 般 来 说 ， 有 以 下 两 个 选 择 ： 完 全 地 隐 藏 日 志 记 录 行 为 ； 隐 藏 日 志 记 录 ， 并 伪 造 一 个 日 志 记 录 守 护 进 程 ， 满 足 攻 击 者 的 心 理 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理