Windows 2000服务器入侵前兆检测方法技巧

来源：作者：出处：巧巧读书 2007-10-06 进入讨论组

　　入侵检测系统（IDS）是防火墙的合理补充，它帮助安全系统发现可能的入侵前兆，并对付网络攻击。

入侵检测系统能在不影响网络性能的情况下对网络进行监测，提供对内部攻击、外部攻击和误操作的实时保护，能够扩展系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。但是，入侵检测系统并不是万能的，高昂的价格也让人退却，而且，单个服务器或者小型网络配置入侵检测系统或者防火墙等投入也太大了。

　　一、对于WWW服务入侵的前兆检测

　　对于网络上开放的服务器来说，WWW服务是最常见的服务之一。基于80端口的入侵也因此是最普遍的。很多sceipt kids就对修改WEB页面非常热衷。WWW服务面对的用户多，流量相对来说都很高，同时WWW服务的漏洞和相应的入侵方法和技巧也非常多，并且也相对容易，很多“黑客”使用的漏洞扫描器就能够扫描80端口的各种漏洞，比如wwwscan 、X-scanner等，甚至也有只针对80端口的漏洞扫描器。Windows系统上提供WWW服务的IIS也一直漏洞不断，成为系统管理员头疼的一部分。

　　虽然80端口入侵和扫描很多，但是80端口的日志记录也非常容易。IIS提供记录功能很强大的日志记录功能。在“Internet 服务管理器”中站点属性可以启用日志记录。默认情况下日志都存放在%WinDir%System32LogFiles，按照每天保存在exyymmdd.log文件中。这些都可以进行相应配置，包括日志记录的内容。

　　在配置IIS的时候应该让IIS日志尽量记录得尽量详细，可以帮助进行入侵判断和分析。现在我们要利用这些日志来发现入侵前兆，或者来发现服务器是否被扫描。打开日志文件，我们能够得到类似这样的扫描记录（以Unicode漏洞举例）：

打开： http://www.qqread.com/network/server/j349618.html