监视系统日志与活动、安全

监视系统日志与活动

使用syslog工具。

推荐日志分析软件SWATCH

监视网络活动
常用netstat 监视网络连接 ＃netstat -p -a -n -t
企业级网络监视工具Nagios
是一个在linux及unix环境下运行的监控系统和网络的应用程序，它监控您所指定的主机和服务，并在情况变得更糟或更好时提醒您注意。

使用IPtables管理防火墙
使用Tripwire实现系统完整性
www.tripwire.org 开源版本  商用版本 www.tripwire.com

嗅探器tcpdump 分析网络流量
#tcpdump -i eth0 -X dst 192.168.0.22
           -i eth0    指定监听的接口
           -X          以十六进制显示包头信息
           dst        指定目标主机地址或端口
#tcpdump -I eth0 -X dst 192.168.0.22 and dst port 21
监听数据包目标为192.168.0.22并且端口为21的数据
 
扫描器nmap
#nmap 192.168.0.122      默认扫描TCP端口
#nmap -sU -sR -sS 192.168.0.22
      -sU  UDP扫描
      -sR  RPC扫描
      -sS  TCP SYN扫描
可扫描单个主机或IP段192.168.0.0/24
#grep syslog /etc/services     搜索文件中含有syslog字符串的行，搜索文件中的字符串。
 
使用GnuPG进行加密

日志服务器syslog
配置文件/etc/syslog.conf
左边指定消息类型       右边指定消息记录位置
*.info;mail.none;authpriv.none;cron.none     /var/log/messages
任何程序的信息，只要是info级别以上都记录在/var/log/messages，但不记录mail,authpriv,cron的消息
mail.*                                                       /var/log/maillog
邮件的所有消息都记录在/var/log/maillog文件中
如修改了配置文件需从新启动服务
#service syslog restart
#vi /etc/syslog.conf
*.*                 @192.168.0.22
将所有程序的所有消息发送给192.168.0.22主机处理，但同时192.168.0.22要开启允许远程消息
#vi /etc/sysconfig/syslog 修改
SYSLOGD_OPTIONS=”-m 0 -r -x”
#service syslog restart
日志服务端口默认514/udp
#netstat -unl | grep :514         显示日志服务是否运行
         -u    UDP协议
         -t    TCP协议
         -n    用数值表示主机地址、端口号
         -l    仅显示正在监听的进程
         -p    显示进程名及PID
 
日志系统
1.编缉/etc/syslog.conf
2.重启日志服务器
#service syslog restart
3.检查日志/var/log/*
安全信息放在/var/log/secure里
邮件信息放在/var/log/maillog
计划任务信息/var/log/cron
大部分信息放在/var/log/messages
#tail -f messages                 监视系统信息的变化