用mrtg在iis 6.0上实现入侵检测功能.0%c9%cf%ca%b5%cf%d6%c8%eb%c7%d6%bc%ec%b2%e2%b9%a6%c4%dc

《用mrtg在iis 6.0上实现入侵检测功能.0%c9%cf%ca%b5%cf%d6%c8%eb%c7%d6%bc%ec%b2%e2%b9%a6%c4%dc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、用MRTG在IIS6.0上实现入侵检测功能MRTG（MultiRouterTrafficGrapher）是一个跨平台的监控网络链路流量负载的工具软件，目前它可以运行在大多数Unix系统和WindowsNT之上。它通过snmp协议从设备得到设备的流量信息，并将流量负载以包含PNG格式的图形的HTML文档方式显示给用户，以非常直观的形式显示流量负载。      或许你还不知道，MRTG还是一个有效的入侵检测工具。大家都知道，入侵者扫描与破坏后都能生成一些异常的网络流量，而人们在一般情况下是意识不到的。但是M

2、RTG却能通过图形化的形式给管理员提供入侵的信息。并可以查出数周之前的入侵信息，以备管理员参考。一，攻击行为对服务器造成的信息    1，攻击者使用CGI漏洞扫描器对潜在的CGI漏洞脚本进行扫描时，HTTP404NotFounderrors的记录会增长。    2，攻击者尝试暴力破解服务器上的帐户，HTTP401AuthorizationRequirederrors的记录会增长。    3，一种新的蠕虫出现，某一个特定的协议的流量会增长。    4，蠕虫通过傀儡主机，攻击其他的服务器，出外的流量增加，并

3、增大CPU的负荷。    5，入侵者尝试SQLinjection攻击，HTTP500ServerErrors记录会增长。    6，垃圾邮件发送者在网络上寻找中继SMTP服务器来发送垃圾邮件，会造成SMTP的和DNSlookups流量大增，同时造成CPU负荷增大。    7，攻击者进行DDOS攻击，会造成ICMP流量，TCP连接，虚假的IP，多播广播流量大增。造成浪费大量的带宽。    看完上面的，我们可以总结出，攻击者要入侵必须会影响到服务器的这些资源：:CPU,RAM,磁盘空间，网络连接和带宽。入侵

4、者还有可能对服务器建立进程后门，开放端口，他们还对他们的入侵行为进行伪装掩盖，避免遭到入侵检测系统的监视。二，攻击者使用以下的方法避免被检测到：  1，探测扫描很长时间后，才进行真正的入侵进攻。  2，从多个主机进行攻击，避免单一的主机记录。    3，尽量避免入侵造成的CPU,RAM和驱动器的负荷。  4，利用管理员无人职守时入侵，在周末或者节假日发起攻击。  三，对于IIS6，我们需要监视的是  1，网络流量，包括带宽，数据包，连接的数量等。  2，网络协议的异常错误。    3，网站的内外流量，包

5、括用户的权限设置，外部请求的错误流量等。  4，线程和进程。 四，在Windows2003下安装MRTG      在使用MRTG之前，你需要在你的服务器里安装SNMP服务。具体步骤如下：从控制面板中选择添加/删除程序，点击添加和删除windows组件。管理和监视工具中的详细资料里就可以找到简单网络管理协议，即可安装。      安装成功后，你需要立刻安全配置一下，我们大家都知道，SNMP在网络上决不是一个安全的协议，你可以通过http://support.microsoft.com/?kbid=324

6、261这个连接来具体了解。但是我们只是在本地使用SNMP，但是还是建议你通过防火墙屏蔽SNMP的161与162端口和使用IPSec。并且要配置为obscurecommunitystring。在管理工具中，在服务中选择安全，设为只读访问。尽管communitystring安全问题不多，但是你还是要避免使用communitystring为只读访问。      MRTG是一个用Perl编译的C程序。你还要安装ActivePerl来解决支持脚本的问题。下载最新的MRTG。可以到http://people.ee.

7、ethz.ch/~oetiker/webtools/mrtg/pub/下载，注意要选择.zip的文件下载。这篇文章所使用的版本请到http://securityfocus.com/microsoft/images/burnett_MRTG_files.zip下载。把MRTG解压到C:ProgramFilesMRTG目录下。      在你的Inetpub目录下为MRTG建立一个子目录。为了安全，不要建立在wwwroot目录下。然后，使用IIS建立一个MRTG的新站点。如果可能的话，最好能为MRTG站

8、点配置一个主机头和一个独立的IP。也可以在一个已存在的目录下为MRTG站点建立一个合法的虚拟目录，也能达到同样的目的。        注意，在新建立的MRTG站点不要运行可执行的脚本，只提供只读访问。在NTFS下，要注意对用户的权限的设置。如果可能的话，最好对指定MRTG站点的IP来选择特定的主机。      现在，就可以把配置文件放到C:ProgramFilesMRTGBin下了，并把index.html文件拷贝到你的Inetpu