0x50sec.org

透析Linux日志查入侵
来源:http://hi.baidu.com/xi4o7e

日志对于网络安全来说无疑是非常重要的，它记录了系统每天发生的各种各样的事，你可以通过它来检查错误发生的原因，或者受到攻击后攻击者留下的痕迹。日志主要的功能有审计和监测，同时它也可以实时的监测系统状态，监测入侵者。

日志子系统分类
在Linux系统中，有三个主要的日志子系统：
连接时间日志——由多个程序执行，把纪录写入到/var/log/Wtmp和/var/run/Utmp，Login等程序更新Wtmp和Utmp文件，使系统管理员能够跟踪谁在何时登录到系统。
进程统计——由系统内核执行。当一个进程终止时，为每个进程往进程统计文件（Pacct或Acct）中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。
错误日志——由Syslogd（8）执行。各种系统守护进程、用户程序和内核通过Syslog（3）向文件/var/log/messages报告值得注意的事件。另外有许多UNIX程序创建日志。像HTTP和FTP这样提供网络服务的服务器也保持详细的日志。
常用的日志文件如下：
Access-log：纪录HTTP/WEB的传输。
Acct/pacct：纪录用户命令。
Aculog：纪录MODEM的活动。
Btmp：纪录失败的纪录。
Lastlog：纪录最近几次成功登录的事件和最后一次不成功的登录。
Messages：从Syslog中记录信息（有的链接到Syslog文件）。
Sudolog：纪录使用Sudo发出的命令。
Sulog：纪录“su”的使用。
Utmp：纪录当前登录的每个用户。
Wtmp：一个用户每次登录进入和退出时间的永久纪录。
Xferlog：纪录FTP会话。
阅读全文…

来源:kiindle’s blog

UNIX网管员主要是靠系统的LOG,来获得入侵的痕迹.当然也有第三方工具记录入侵系统的 痕迹,UNIX系统存放LOG文件,普通位置如下:
/usr/adm – 早期版本的UNIX
/var/adm – 新一点的版本使用这个位置
/var/log – 一些版本的Solaris,linux BSD,Free BSD使用这个位置
/etc – 多数UNIX版本把utmp放在这里，有些也把wtmp放在这里，syslog.conf在这里
下面的一些文件根据你所在的目录不同而不同：
acct 或 pacct — 记录每个用户使用的命令记录
access_log — 主要当服务器运行NCSA HTTPD时, 记录什么站点连接过你的服务器
aculog — 保存着你拨出去的MODEMS记录
lastlog — 记录了用户最近的LOGIN记录和每个用户的最初目的地，有时是最后不
成功LOGIN的记录,当一个用户登陆到unix系统，注册程式在lastlog文件中查找该用户的uid，如果该程式找到了
该用户的uid，unix就会显示最后一次登陆的时间和tty（终端号）
loginlog — 记录一些不正常的LOGIN记录
messages — 记录输出到系统控制台的记录，另外的信息由syslog来生成
security — 记录一些使用UUCP系统企图进入限制范围的事例

sulog — 记录使用su命令的记录．他通常在/var/adm/sulog．如果你在机器上使用了su命令，别忘了清除哦．
阅读全文…

来源:http://xi4oyu.blogbus.com/logs/19245117.html