日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

UNIX入侵檢測( 四 )

云知道


Apr 26 15:30:53 only_you xinetd[528]: FAIL: ftp libwrap
from=211.69.197.1
Apr 26 15:40:00 only_you CROND[1388]: (root) CMD
(/usr/local/etc/logcheck.sh)
Apr 26 15:40:00 only_you CROND[1388]: (root) CMD
(/usr/local/etc/logcheck.sh)
Apr 26 15:40:00 only_you CROND[1390]: (root) CMD ( /sbin/rmmod -as)
Apr 26 15:40:00 only_you CROND[1390]: (root) CMD ( /sbin/rmmod -as)
Apr 26 15:30:53 only_you xinetd[528]: FAIL: ftp libwrap
from=211.69.197.14.swatchSWATCH (The Simple WATCHer and filer) 是Todd Atkins開發(fā)的用于實(shí)時(shí)監(jiān)視日
志的PERL程序 。Swatch利用指定的觸發(fā)器監(jiān)視日志記錄，當(dāng)日志記錄符合觸發(fā)器條件
時(shí)，swatch會按預(yù)先定義好的方式通知系統(tǒng)管理員 。Swatch非常容易安裝 。它是一個PERL程序，無需編譯 。Swatch有一個很有用的安裝
腳本，將所有的庫文件、手冊頁和PERL文件復(fù)制到相應(yīng)目錄下 。安裝完成后，只要創(chuàng)建
一個配置文件，就可以運(yùn)行程序了 。Swatch的下載網(wǎng)址,最新的版本為3.0.1。下載后
也放到了/backup目錄 。4.1 安裝以root用戶身份登錄，[root@only_you /root]# tar zxvf /backup/swatch-3.0.1.tar.gz
[root@only_you /root]# cd swatch-3.0.1現(xiàn)在的版本需要perl 5和Time::HiRes, Date::Calc,Date::format, file::Tail.
模塊，系統(tǒng)自帶的perl可能不包括，沒關(guān)系，它的安裝程序會自己到網(wǎng)上去找 。[root@only_you swatch-3.0.1]# perl Makefile.PL系統(tǒng)提示HiRes 1.12模塊沒有安裝，詢問是否安裝，回答y，接著系統(tǒng)提示Are you ready for manual configuration? [yes]敲n就會自動配置，然后它自己到網(wǎng)上去裝東西，具體在干什么我也不清楚了 。裝
完這個又說缺別的東西，還是讓它自己去裝 。試著執(zhí)行一下./swatch，如果沒有錯誤信
息就說明安裝成功了 。4.2 配置swatchrcswathrc文件的格式如下# Bad login attempts
watchfor /INVALID|REPEATED|INCOMPLETE/
echo
bell 3
mail=only_you@linuxaid.com.cn
# Machine room temperature
watchfor /WizMON/
echo inverse
bellwatchfor后跟/pattern/，其中的"pattern"代表一個swatch將要進(jìn)行搜索匹配的
正則表達(dá)式，也就是我們的觸發(fā)器，下面緊跟的以“Tab”開頭的是當(dāng)表達(dá)式匹配時(shí)所
要執(zhí)行的動作，Swatch允許指定包括顯示、email、呼叫或任何指定的執(zhí)行文件 。上面
第一個watchfor的含義是找到/INVALID|REPEATED|INCOMPLETE/后把信息顯示到屏幕
上，響鈴，同時(shí)向only_you@linuxaid.com.cn發(fā)MAIL 。詳細(xì)的正則表達(dá)式的格式請參考
相應(yīng)的文檔 。缺省情況下，swatch認(rèn)為swatchrc文件為~/.swatchrc，可以通過運(yùn)行時(shí)指定參數(shù)
來改變，如果未找到swatchrc文件，則使用缺省的配置watchfor = /.*/
echo = random4.3 測試Swatch啟動時(shí)可以帶很多參數(shù)，但使用通常如下格式啟動它就可以了：/usr/local/bin/swatch -c /var/log/syslogrc -t /var/log/syslog &-c參數(shù)用于指定配置文件，-t參數(shù)指定實(shí)時(shí)監(jiān)視的日志文件，"&"使swatch在后臺
運(yùn)行 。啟動后，swatch產(chǎn)生子進(jìn)程，因此swatch是以兩個進(jìn)程運(yùn)行的，在停止swatch時(shí)
必須殺掉兩個進(jìn)程 。-t參數(shù)是用tail –f filename，從文件的末尾開始查找，如果想查找整個文件，
則應(yīng)該使用-f filename ?，F(xiàn)在讓我們來實(shí)驗(yàn)一下，在swatch程序所在的目錄下建立swatchrc文件，內(nèi)容如下
：watchfor = /FAILED/
echo=random執(zhí)行./swatch –c swatchrc –f /var/log/authlog，所有登錄失敗的記錄就會顯
示出來，并且還用不同的顏色來顯示 。Apr 26 17:43:34 only_you login[2344]: FAILED LOGIN 1 FROM cjm FOR dsf,
Authentication failure
Apr 27 09:55:50 only_you login[932]: FAILED LOGIN 1 FROM (null) FOR

推薦閱讀