資安論壇

可能網管人員都太辛苦了，很少人注意檢查LOG，當然，LOG是預防事件發生及已經發生後檢討的最有利武器。
如果，有智慧型及自動的以及免費的分析程式是最好的啦。
版主加油。

德不孤,必有鄰~
小弟目前正為log analysis努力中...

看看網管工具那版才叫冷-.-

_________________

請教 .SM. 大大。請問您是努力於分析 LOG 檔內容及特性，或是開發可讀取及分析的應用軟體。還希望早日能分享您的成果。加油！加油！

分享些經驗吧

小弟目前做的只是將所以主機的Log集中蒐集到一台資料庫中,再由另一支程式定期到資料庫中撈出資料作成可讀性的報表.
下一步打算做Rule-Base的Log Analysis,不過還沒開始做.
小弟整理了一些有關Log Analysis的Bookmark,有興趣的話,歡迎討論.

http://samlin2004.myweb.hinet.net/bookm ... alysis.htm

_________________
This posting is provided "AS IS" with no warranties, and confers no rights.

小弟我有常看 Log 的習慣，平台為 FreeBSD，而我只開 Port 22 、80。最常見到的就是。
# tail /var/log/messages
Nov 3 20:10:44 mis sshd[10104]: refused connect from 211.75.113.237 (211.75.113.237)
Nov 4 06:42:05 mis sshd[10872]: refused connect from 211.75.113.237 (211.75.113.237)
Nov 4 06:42:08 mis sshd[10873]: refused connect from 211.75.113.237 (211.75.113.237)
Nov 4 06:55:09 mis sshd[10883]: refused connect from 211.75.113.237 (211.75.113.237)
Nov 4 06:55:19 mis sshd[10884]: refused connect from 211.75.113.237 (211.75.113.237)
Nov 6 06:24:25 mis sshd[16253]: refused connect from 218.21.129.102 (218.21.129.102)
Nov 6 23:17:58 mis sshd[16988]: refused connect from 131.247.154.220 (131.247.154.220)
Nov 6 23:17:58 mis sshd[16989]: refused connect from 131.247.154.220 (131.247.154.220)
Nov 9 08:06:54 mis sshd[20445]: refused connect from 131.152.84.125 (131.152.84.125)
Nov 9 08:06:54 mis sshd[20446]: refused connect from 131.152.84.125 (131.152.84.125)

還好我有把 TCP_WRAPPER 設起來。因為發現大部份的惡意連線都是這類的訊息，真不知是不是利用 SSH 的某個漏洞企圖入侵我的機器。

之前也想過設個資料庫存下來，看看是否如果收到這類的訊息就將 IP 記錄下來、以利日後的運用。可惜……一直未動手（真是慚愧）。

這篇不知道您有無興趣? For Linux的, 不知道該套件能不能用在FreeBSD...

http://forum.icstc.org/phpBB2/viewtopic.php?t=4190

_________________
This posting is provided "AS IS" with no warranties, and confers no rights.

謝謝！

剛看了一下 FreeBSD 的 PORTS 中，似乎都有上面列到的一些 Packages。所以我想應該也能夠執行才是！

2001年Las Vegas的Blackhat Briefing有一場演是有關Web server log analysis.

我等了一年, 演講者都沒有把他的程式放出來
後來我就自己花兩個月寫了個script給客戶.

它分析幾十GB的web log只要2~3分鐘.
所有的attacks只要web server有log下來, 通通都能抓出來再將攻擊分類歸成幾個檔.

因為職務的關係, 我不能share這隻程式.
但我可以給有興趣的人一些hint:
用bash script就足夠了.
過濾不是難事.
辨識哪些是attacks才是這隻程式值錢的地方.

_________________
資深資安顧問/WebApp Security講師
按這裡與我聯絡