unix系统主机的非法入侵检测

《unix系统主机的非法入侵检测》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、［绿色兵团］－网络安全基地页码，1/2Unix系统主机的非法入侵检测一1999.8.11Blackeyes参考文献：《风险分析、策略与防火墙》《Internet安全技术》《Unix技术大全》《黑客分析与防范技术》《网络危机处理中心通讯》《网络最高安全技术指南》总论随着Internet在我国的迅速发展，非法入侵事件不断发生，网络安全问题已经引起各方面的广泛关注，本文就当前发生的一些入侵事件，具体介绍一下Unix系统主机遭到非法入侵的检测问题。本文将分为以下五个部分：第一部分被入侵的概念和被入侵的程度第二部分如何发现系统

2、被入侵第三部分在线监控入侵者及紧急处理方案第四部分发现被入侵后的检测工作第五部分被入侵后的清除工作第一部分被入侵的概念和被入侵程度“被入侵”即指网络系统遭受未授权的闯入，根据程度不同分为以下几种情况：l*入侵者只获得系统访问权限，即只是获得了一个普通级别的系统帐号和口令，入侵者只是通过这个帐号登录主机，做些不具破坏性的工作。l*入侵者获得系统访问权限后，毁坏、改变数据，入侵者进入主机后，修改、删除当前帐户里存放的文件，或利用此帐户存放自己的一些文件；l*入侵者得到部分或整个系统的控制权；入侵者进入主机后，利用系统漏洞

3、，或得系统部分或全部控制权，所做入侵行为可能包括：存放自己的资料，增加删除系统帐户，修改系统帐户口令，修改系统日志文件，安装系统后门，安装监听程序，通过这台主机攻击其他系统等等；l*拒绝服务的攻击；入侵者并没有获得系统访问权，而是利用一些拒绝服务的攻击程序，引起网络挂起或重新启动；第二部分如何发现系统被入侵通常的有如下几种方法可以发现系统被入侵：在线发现入侵者；系统出现如下情况，就可能是入侵正在发生：l你是一个系统唯一的管理员，确看到超级用户从拨号终端登录；l同一时间有多次登录的帐户，即一个帐户有多人同时使用；l非编

4、程人员使用编译器；l来自未知的机器，而且这台机器没有和你连接的可能性；l非正常时间登录；l从这台机器再次登录其他机器；*系统发生改变，比如：file://J:crack&hackerSys_SecurityUnix系统主机的非法入侵检测（一）.htm99-10-17［绿色兵团］－网络安全基地页码，2/2l发现/etc/passwd中有未知的帐户出现；l上次登录记录错误；l发现/etc/inetd.conf的内容被改动；l系统中由”cron”和”at”所执行的程序被改动；l系统执行程序被改动，入侵者可能会修改lo

5、gin、su、telnet、netstat、ifconfig、find、du、df、libc、sync、ls等，做为后门程序；l系统基本设定文件被改动，如/etc/hosts.equiv，/etc/hosts.lpd以及所有.rhosts设定；l出现隐含目录，如：‘...’目录等；。。。*系统异常，比如：系统崩溃，系统突然被启动，系统运行速度迟缓等；*别人给你发来电子邮件，指出你的系统有安全漏洞，或有别的系统管理员通知你，来自你系统的帐户在他的系统上有不正常活动，即入侵者在利用你的机器攻击别的系统；第三部分在线监控入

6、侵者及紧急处理方案待续。。。1999.8.11Blackeyes本文由isbase成员编译或原创，如要转载请保持文章的完整性欢迎访问我们的站点http://www.isbase.com绿色兵团给你安全的保证中国网络安全站点，isbase（绿色兵团），已经正式注册！任何媒体在未经许可的情况下不得擅自使用，如有发现侵权行为将一追到底，如要转摘我们的文章必须得到我们的同意，且必须保持原文的完整性。webmaster@isbase.comCopyright©1999isbase,Inc.isbaseisatrademarko

7、fisbase,Inc.file://J:crack&hackerSys_SecurityUnix系统主机的非法入侵检测（一）.htm99-10-17