如何发现入侵?

如何发现入侵?

  如果的系统已经被入侵者控制,或者入侵者已经获得了一些权限,那么系统总会有一些症状反映出来
,有些症状也往往暗示着有人正在打你系统的主意,你的系统将被入侵。
1.网络流量增大
  如果一台服务器突然间流量大了许多,这就预示着你的系统有可能已经被入侵者控制,并用来扫描和
攻击其它的服务器。事实证明,流量突然过大不容忽视,许多入侵者都用中间主机下载并提供扫描软件,
对远程主机扫描、分析和测试漏洞进而造成网络流量突然增大。
2. 异常的访问日志
  入侵者在入侵并控制系统之前,往往会先用自动或者手动扫描这个系统,以获取更多的信息,了解并
入侵您的系统。
  系统被扫描的征兆:
  1.一个IP连续多次出现在系统的各种服务日志中,并试图访问越权访问管理程序,这很有可能是入侵
者在试图寻找并尝试漏洞。
  2.一个IP连续多次在同一系统多个服务建立了空连接,这很有可能是入侵者在搜集服务的版本信息。
  3.有人访问了系统不必要的服务,或者系统不存在的但是有严重安全隐患的漏洞。
比如:finger、rpc.statd。
  4.有人telnet、ftp、pop3、su等服务日志连续出现了大量的连续性失败登入日志,着很有可能是入
侵者在尝试猜测系统的密码。
3.非法访问
  如果你发现某个用户试图访问控制并修改/etc/shadow、系统日志和系统配置文件,那么很有可能这
个用户已经被入侵者控制,并且试图夺取更高的权限。
4.正常服务终止
  比如系统的日志服务突然奇怪的停掉了,你的IDS程序突然终止,这暗示着入侵者试图停掉这些有威
胁的服务,在系统上留下空日志来逃避管理员的追查。
5.可疑的进程,非法服务
  系统中任何可疑的进程都应该仔细检查,比如以root启动的httpd服务,系统中本来关闭的服务重新
被启动。这些可疑进程和服务,很有可能是入侵者启动的攻击进程、后门进程、sniffer进程。
6.系统文件或用户数据被更改
  入侵者通常会更改系统中的配置文件来逃避追查,或者加载后门、攻击程序之类,比如修改
syslog.conf文件去掉secure的条目来躲避login后门的审计;修改hosts.deny、hosts.allow来解除
tcpwrapper对入侵者IP的过滤;增加一个条目在rc.d里面,以便系统启动的时候,同时启动后门程序;增
加了一个用户、一个suid程序都意味着你的系统已经被入侵着控制了。
7.可疑的数据
  系统中出现了诸如" "(空格空格)、".. "(点点空格)、"..^M"(点点ctrl+M)、"..."(点点点
)这样可疑的目录,入侵者经常在这样的目录中使用和隐藏文件.系统命令被修改(比如安装了lrk,ps输
出有变化),有些目录里面(特别是/tmp)出现了常用扫描器的产生的临时文件,攻击程序,磁盘空间突
然变小,主页被修改,用户数据被修改。
8.系统被sniffer
  系统入侵发生时,入侵者经常在UNIX系统上安装一个网络监视程序,通常称为sniffer,用于捕获用
户账号和密码信息。是否有进程把任何网络设备置成混杂模式是判断sniffer存在的证据,如果任一网络
设备处于混杂模式,那系统中就有sniffer程序在运行。传统的sniffer不能在交换环境成功使用,交换环
境通过mac地置发送数据,这就产生了各种ARC欺骗工具,sniffer和snoop永远都是同时存在的。
9.worm攻击
  近来Linux病毒也开始盛行,worm自动侦察攻击并复制自己,worm使受害服务器以几何级数增加,安
全危害不容忽视,worm以攻击、安置后门、自我复制几部分组成,受害主机都有着相同的症状,如果发现
你的系统已经被worm攻击,请立即断开网络连接,以减少受害主机的增多。
    愿与致力于服务器网站安全的从业人员进行交流.QQ:1210842393


用户系统信息:Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; 360SE)
最后编辑瑞星工程师19 最后编辑于 2009-07-31 15:34:24