linux加固教程第八课linux日志分析.pptVIP

Linux加固教程 （第八讲） linux日志分析 本章知识点 了解日志文件的含义 通过日志了解系统的运行状态 被入侵以后根据日志找出入侵者 一. Linux日志系统简介 日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他 来检查错误发生的 原因，或者受到攻击时攻击者留下的痕迹。日志主要的功能有：审计和 监测。他还可以实时的监测系统状态，监 测和追踪侵入者等等。 二. Linux日志系统分类 连接时间日志--连接时间日志由多个程序执行，把记录写入到/var/log/wtmp和/var/run/utmp。login等程序更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。 日志格式—选择条件和优先级. 错误日志--由syslogd（8）执行。各种系统守护进程、用户程序和内核通过syslog（3）向 文件/var/log/messages 报告值得注意的事件。另外有许多Linux程序创建日志。像HTTP和 FTP这样提供网络服务的服务器也保持详细的 日志。 连接时间日志 utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户登录进入和退 出的纪录。有关当 前登录用户的信息记录在文件utmp中；登录进入和退出纪录在文件wtmp 中；最后一次登录文件可以用lastlog命令 察看。数据交换、关机和重起也记录在wtmp文件中。 who、w、users、ac命令由系统内核执行。当一个进程终止时，为每个进程往进程统计文件（pacct或 acct）中写一个纪录。 进程统计的目的是为系统中的基本服务提供命令使用统计。 /var/log/secure登陆进系统的记录 包括sshd telnet pop等 错误日志(syslog配置) Syslog已被许多日志函数采纳，它用在许多保护措施中--任何程序都可以通过syslog 纪录 事件。Syslog可以纪录 系统事件，可以写到一个文件或设备中，或给用户发送一个信息。 它能纪录本地事件或通过网络纪录另一个主机 上的事件。 /etc/syslog.conf文件格式讲解 服务名称.记录等级 存放位置 服务名称包括常用的服务例如httpd,ftpd等. 记录等级 info(信息的资料) notice(建议信息要关注) warning或者是warn(警告的信息) error(错误信息) 特殊等级如debug (显示调试信息) 错误日志(syslog配置) Syslog的存放位置 绝对路径:/var/log 打印机:/dev/lp0 远程主机: @0 同时远程主机要开启-r选项/etc/sysconfig/syslog (重点讲解实现方法） syslog的安全属性设定 Chattr +a /var/log/messages Lsattr /var/log/message 只能增加资料,但不能删除.(只有root才能修改,但是也不一定我们可以利用lcap让root也不能删除和修改以后讲解) 日志格式 选择条件 优先级别 保存位置 选择条件 选择条件本身分为两个字段，之间用一个小数点（.）分隔。前一字段是一项服务，后一字段是一个优先级。选择条件其实是对消息类型的一种分类，这种分类便于 人们把不同类型的消息发送到不同的地方。在同一个syslog配置行上允许出现一个以上的选择条件，但必须用分号（;）把它们分隔开。上面给出的例子里只 有一个选择条件“mail”。大家可以在我们后面给出的那个完整的syslog配置文件示例里看到同时有多个选择条件的配置行。表1列出了绝大多数 Linux变体都可以识别的选择条件。? 表一 优先级别 优先级是选择条件的第二个字段，它代表消息的紧急程度。对一个应用程序来说，它发出的哪些消息属于哪一种优先级是由当初编写它的程序员决定的，应用程序的 使用者只能接受这样的安排——除非打算重新编译系统应用程序。表2按严重程度由低到高的顺序列出了所有可能的优先级。  表二 日志存储位置 日志信息可以分别记录到多个文件里，还可以发送到命名管道、其他程序甚至另一台机器。syslog配置文件并不复杂，既容易阅读又容易操作使用。这个文件里的注释都非常有用，应该好好读读它们. DEMO 实例讲解把多台linux日志发送到中心服务器上 三.专业的日志分析软件 Swatch 下载地址:/ 有兴趣的朋友自己安装并且测试一下。 * *