讓黑客無(wú)處可逃之追捕技術(shù)（1）
在以前的文章中作者已經(jīng)向大家介紹了一種追捕黑客的技術(shù)即網(wǎng)絡(luò)入侵追蹤方法，今天我們繼續(xù)向大家介紹幾種常用的方法。
本地追蹤方法
追蹤網(wǎng)絡(luò)攻擊就是找到事件發(fā)生的源頭。它有兩個(gè)方面意義:一是指發(fā)現(xiàn)IP地址、MAC地址或是認(rèn)證的主機(jī)名;二是指確定攻擊者的身份。網(wǎng)絡(luò)攻擊者在實(shí)施攻擊之時(shí)或之后，必然會(huì)留下一些蛛絲馬跡，如登錄的紀(jì)錄，文件權(quán)限的改變等虛擬證據(jù)，如何正確處理虛擬證據(jù)是追蹤網(wǎng)絡(luò)攻擊的最大挑戰(zhàn)。
在追蹤網(wǎng)絡(luò)攻擊中另一需要考慮的問(wèn)題是:IP地址是一個(gè)虛擬地址而不是一個(gè)物理地址，IP地址很容易被偽造，大部分網(wǎng)絡(luò)攻擊者采用IP地址欺騙技術(shù)。這樣追蹤到的攻擊源是不正確的。使得以IP地址為基礎(chǔ)去發(fā)現(xiàn)攻擊者變得更加困難。因此，必須采用一些方法，識(shí)破攻擊者的欺騙，找到攻擊源的真正IP地址。
netstat命令----實(shí)時(shí)察看文擊者
使用netstat命令可以獲得所有聯(lián)接被測(cè)主機(jī)的網(wǎng)絡(luò)用戶的IP地址。Windows系列、Unix系列、Linux等常用網(wǎng)絡(luò)操作系統(tǒng)都可以使用“netstat”命令。
使用“netstat”命令的缺點(diǎn)是只能顯示當(dāng)前的連接，如果使用“netstat”命令時(shí)攻擊者沒(méi)有聯(lián)接，則無(wú)法發(fā)現(xiàn)攻擊者的蹤跡。為此，可以使用Scheduler建立一個(gè)日程安排，安排系統(tǒng)每隔一定的時(shí)間使用一次“netstat”命令，并使用netstat>>textfile格式把每次檢查時(shí)得到的數(shù)據(jù)寫(xiě)入一個(gè)文本文件中，以便需要追蹤網(wǎng)絡(luò)攻擊時(shí)使用。
日志數(shù)據(jù)--最詳細(xì)的攻擊記錄
系統(tǒng)的日志數(shù)據(jù)提供了詳細(xì)的用戶登錄信息。在追蹤網(wǎng)絡(luò)攻擊時(shí)，這些數(shù)據(jù)是最直接的、有效的證據(jù)。但是有些系統(tǒng)的日志數(shù)據(jù)不完善，網(wǎng)絡(luò)攻擊者也常會(huì)把自己的活動(dòng)從系統(tǒng)日志中刪除。因此，需要采取補(bǔ)救措施，以保證日志數(shù)據(jù)的完整性。
Unix和Linux的日志
Unix和Linux的日志文件較詳細(xì)的記錄了用戶的各種活動(dòng)，如登錄的ID的用戶名、用戶IP地址、端口號(hào)、登錄和退出時(shí)間、每個(gè)ID最近一次登錄時(shí)間、登錄的終端、執(zhí)行的命令，用戶ID的賬號(hào)信息等。通過(guò)這些信息可以提供ttyname(終端號(hào))和源地址，是追蹤網(wǎng)絡(luò)攻擊的最重要的數(shù)據(jù)。
大部分網(wǎng)絡(luò)攻擊者會(huì)把自己的活動(dòng)記錄從日記中刪去，而且UOP和基于X Windows的活動(dòng)往往不被記錄，給追蹤者帶來(lái)困難。為了解決這個(gè)問(wèn)題，可以在系統(tǒng)中運(yùn)行wrapper工具，這個(gè)工具記錄用戶的服務(wù)請(qǐng)求和所有的活動(dòng)，且不易被網(wǎng)絡(luò)攻擊者發(fā)覺(jué)，可以有效的防止網(wǎng)絡(luò)攻擊者消除其活動(dòng)紀(jì)錄。
Windows NT和Windows 2000的日志
Windows NT和Windows 2000有系統(tǒng)日志、安全日志和應(yīng)用程序日志等三個(gè)日志，而與安全相關(guān)的數(shù)據(jù)包含在安全日志中。安全日志記錄了登錄用戶的相關(guān)信息。安全日志中的數(shù)據(jù)是由配置所決定的。因此，應(yīng)該根據(jù)安全需要合理進(jìn)行配置，以便獲得保證系統(tǒng)安全所必需的數(shù)據(jù)。
但是，Windows NT和Windows 2000的安全日志存在重大缺陷，它不記錄事件的源，不可能根據(jù)安全日志中的數(shù)據(jù)追蹤攻擊者的源地址。為了解決這個(gè)問(wèn)題，可以安裝一個(gè)第三方的能夠完整記錄審計(jì)數(shù)據(jù)的工具。
防火墻日志
作為網(wǎng)絡(luò)系統(tǒng)中的“堡壘主機(jī)”，防火墻被網(wǎng)絡(luò)攻擊者攻陷的可能性要小得多。因此，相對(duì)而言防火墻日志數(shù)據(jù)不太容易被修改，它的日志數(shù)據(jù)提供最理想的攻擊源的源地址信息。
但是，防火墻也不是不可能被攻破的，它的日志也可能被刪除和修改。攻擊者也可向防火墻發(fā)動(dòng)拒絕服務(wù)攻擊，使防火墻癱瘓或至少降低其速度使其難以對(duì)事件做出及時(shí)響應(yīng)，從而破壞防火墻日志的完整性。因此，在使用防火墻日志之前，應(yīng)該運(yùn)行專用工具檢查防火墻日志的完整性，以防得到不完整的數(shù)據(jù)，貽誤追蹤時(shí)機(jī)。
電子郵件追蹤方法
在以上各種紀(jì)錄方式中，都沒(méi)有電子郵件這項(xiàng)。因?yàn)殡娮有偶仁占呷ナ招挪趴吹玫剑?有些情況可能是很緊急的， 沒(méi)辦法等你去拿信來(lái)看(BSD的Manual Page寫(xiě)著「when you got mail,it’s already too late...」 :-P)。以上就是syslog各項(xiàng)紀(jì)錄程度以及紀(jì)錄方式的寫(xiě)法，各位讀者可以依照自己的需求記錄下自己所需要的內(nèi)容。但是這些紀(jì)錄都是一直堆上去的，除非您將檔案自行刪掉，否則這些檔案就會(huì)越來(lái)越大。有的人可能會(huì)在syslogd.conf里寫(xiě)：*.*/var/log/everything，要是這樣的話，當(dāng)然所有的情況都被你記錄下來(lái)了。但是如果真的系統(tǒng)出事了，你可能要從好幾十MB甚至幾百M(fèi)B的文字中找出到底是哪邊出問(wèn)題，這樣可能對(duì)你一點(diǎn)幫助都沒(méi)有。因此，以下兩點(diǎn)可以幫助你快速找到重要的紀(jì)錄內(nèi)容：
1.定期檢查紀(jì)錄
養(yǎng)成每周(或是更短的時(shí)間，如果你有空的話)看一次紀(jì)錄檔的習(xí)慣。如果有需要將舊的紀(jì)錄檔備份，可以cploglog.1,cploglog.2...或是cploglog.971013,cploglog.980101...等，將過(guò)期的紀(jì)錄檔依照流水號(hào)或是日期存起來(lái)，未來(lái)考察時(shí)也比較容易。
2.只記錄有用的東西
千萬(wàn)不要像前面的例子一樣,記錄下*.*。然后放在一個(gè)檔案中。這樣的結(jié)果會(huì)導(dǎo)檔案太大，要找資料時(shí)根本無(wú)法馬上找出來(lái)。有人在記錄網(wǎng)路通訊時(shí)，連誰(shuí)去ping他的主機(jī)都記錄。除非是系統(tǒng)已經(jīng)遭到很大的威脅，沒(méi)事就有人喜歡嘗試進(jìn)入你的系統(tǒng)，否則這種雞毛蒜皮的小事可以不用記錄?？梢蕴嵘┰S系統(tǒng)效率以及降低硬盤(pán)使用量(當(dāng)然也節(jié)省你的時(shí)間)。地理位置的追蹤如何查出入侵者的地理位置?光看IP地址可能看不出來(lái)，但是你?？吹脑?，會(huì)發(fā)現(xiàn)也會(huì)發(fā)現(xiàn)規(guī)律的。在固接式的網(wǎng)路環(huán)境中，入侵者一定和網(wǎng)路提供單位有著密切的關(guān)系。因?yàn)榧僭O(shè)是區(qū)域網(wǎng)路，那么距離絕對(duì)不出幾公里。就算是撥接好了，也很少人會(huì)花大筆錢(qián)去撥外縣市甚至國(guó)外的撥接伺服器。因此，只要查出線的單位，入侵者必然離連線單位不遠(yuǎn)。
撥接式的網(wǎng)路就比較令人頭疼了。有許多ISP為了吸引客戶,弄了很多什么網(wǎng)絡(luò)卡。User這邊只要買(mǎi)了固定的小時(shí)數(shù),不需須另外向ISP那邊提出申請(qǐng)，就可以按照卡片上的說(shuō)明自行撥接上網(wǎng)。這樣當(dāng)然可以吸引客戶,但是ISP就根本無(wú)從得知是誰(shuí)在用他們的網(wǎng)路。也就是說(shuō),雖然以網(wǎng)絡(luò)卡提供撥接服務(wù)給撥接使用者帶來(lái)相當(dāng)大的便利，但卻是系統(tǒng)安全的大敵，網(wǎng)路管理員的惡夢(mèng)。如果入侵你的人是使用網(wǎng)絡(luò)卡來(lái)上網(wǎng)，那……，要從撥號(hào)的地點(diǎn)查嗎?入侵者可以不要用自己家里的電話上網(wǎng)。
編者按：
對(duì)于老牌黑客，追蹤會(huì)相當(dāng)困難，因?yàn)樵诰W(wǎng)絡(luò)中技術(shù)決定勝敗，老牌黑客有著優(yōu)良的技術(shù)與長(zhǎng)期的逃跑經(jīng)驗(yàn)。而對(duì)于網(wǎng)絡(luò)新手來(lái)說(shuō)，有時(shí)日志與常用手法并不一定管用，但本文的觀點(diǎn)會(huì)讓讀者了解追蹤黑客的基本套路，對(duì)今后的工作和網(wǎng)絡(luò)生活能帶來(lái)幫助。
【編輯推薦】
