Linux日誌分析的實戰專題

 

作者：劉志勇 郭聰輝

日誌也是使用者應該注意的地方之一。不要低估記錄檔對網路安全的重要作用，因為記錄檔能夠詳細記錄系統每天發生的各種各樣的事件。使用者可以通過記錄檔檢查錯誤產生的原因，或者在受到攻擊和駭客入侵時追蹤攻擊者的蹤跡。日誌的兩個比較重要的作用是：審核和監測。配置好的Linux的日誌非常強大。對於Linux系統而言，所有的記錄檔都在/var/log下。預設情況下，Linux的記錄檔已經足夠強大，但沒有記錄FTP的活動。使用者可以通過修改/etc/ftpacess讓系統記錄FTP的一切活動。

    Linux日誌系統簡介：日誌對於系統的安全來說非常重要，它記錄了系統每天發生的各種各樣的事情，使用者可以通過它來檢查錯誤發生的原因，或者尋找受到攻擊時攻擊者留下的痕迹。日誌主要的功能是審計和監測。它還可以即時地監測系統狀態，監測和追蹤侵入者。Linux系統一般有3個主要的日誌子系統：連線時間日誌、進程統計日誌和錯誤記錄檔。

    RedHat Linux常見的記錄檔和常用命令：成功地管理任何系統的關鍵之一，是要知道系統中正在發生什麼事。Linux 中提供了異常日誌，並且日誌的細節是可配置的。Linux 日誌都以明文形式儲存，所以使用者不需要特殊的工具就可以搜尋和閱讀它們。還可以編寫指令碼，來掃描這些日誌，並基於它們的內容去自動執行某些功能。Linux 日誌儲存在 /var/log 目錄中。這裡有幾個由系統維護的記錄檔，但其他服務和程式也可能會把它們的日誌放在這裡。大多數日誌只有root賬戶才可以讀，不過修改檔案的存取權限就可以讓其他人可讀。

    配置Linux記錄檔：日誌也應該是使用者注意的地方。不要低估記錄檔對網路安全的重要作用，因為記錄檔能夠詳細記錄系統每天發生的各種各樣的事件，使用者可以通過記錄檔檢查錯誤產生的原因，或者在受到攻擊、被入侵時追蹤攻擊者的蹤跡。日誌的兩個比較重要的作用是審核和監測。配置好的Linux的日誌非常強大。對於Linux系統而言，所有的記錄檔在/var/log下。預設情況下，Linux的記錄檔已經足夠強大，但沒有記錄FTP的活動。使用者可以通過修改/etc/ftpacess讓系統記錄FTP的一切活動。

    管理Linux記錄檔工具：logrotate簡介：如果伺服器有大量的使用者的話，這些記錄檔的大小會很快地增加，在伺服器硬碟不是非常充足的情況下，必須採取措施防止記錄檔將硬碟撐爆。現代的Linux版本都有一個小程式，名為logrotate，用來協助使用者管理記錄檔，它以自己的守護進程工作。logrotate周期性地旋轉記錄檔，可以周期性地把每個記錄檔重新命名成一個備份名字，然後讓它的守護進程開始使用一個記錄檔的新的拷貝。這就是為什麼在/var/log/下看到許多諸如maillog、maillog.1、maillog.2、boot.log.1、boot.log.2之類的檔案名稱。它由一個設定檔驅動，該檔案是/etc/logroatate.conf

    Linux下常用日誌分析工具:Logcheck簡介：對於擁有大量賬戶、系統繁忙的Linux系統而言，其記錄檔是極其龐大的，很多沒有用的資訊會將值得注意的資訊淹沒，給使用者分析日誌帶來了很大的不便。現在有一些專門用於分析日誌的工具，如Logcheck和Friends。Logcheck用來分析龐大的記錄檔，過濾出有潛在安全風險或其他不正常情況的記錄項目，然後以電子郵件的形式通知指定的使用者。它是由Psionic開發的（T113）

本文選自飛思圖書《網路伺服器安全配置詳解》