如何跟踪入侵IP

网络安全是一个综合的、复杂的工程，任何网络安全措施都不能保证万无一失。因此，对于一些重要的部门，一旦网络遭到攻击，如何追踪网络攻击，追查到攻击者并将其绳之以法，是十分必要的。

对于这种由病毒引发的网络风暴解决的最直接的办法就是找出风暴的源头，这时只需要在网络中的一台计算机上安装一个防火墙，例如金山网镖，启用防火墙后你就会发现防火墙不停的报警，打开后可以在“安全状态”标签的安全日志中看到防火墙拦截来自同一个ip地址的病毒攻击，这时你只要根据ip地址找出是哪一台计算机，将其与网络断开进行病毒查杀，一般即可解决问题。使用p2p是用来给大家一个良好的网络环境的，追踪攻击源基本就可以知道限制你的ip了，而且有伤和气，是非常占用网络。设想你们公司有300台linux服务器，a开发人员需要登录其中5台web服务器查看日志或进行问题追踪等事务，同时对另外10台hadoop服务器有root权限，在有300台服务器规模的网络中，按常理来讲你是已经使用了ldap权限统一认证的，你如何使这个开发人员只能以普通用户的身份登录5台web服务器，并且同时允许他以管理员的身份登录另外10台hadoop服务器呢。

在追踪网络攻击中另一需要考虑的问题是:IP地址是一个虚拟地址而不是一个物理地址，IP地址很容易被伪造，大部分网络攻击者采用IP地址欺骗技术。这样追踪到的攻击源是不正确的。使得以IP地址为基础去发现攻击者变得更加困难。因此，必须采用一些方法，识破攻击者的欺骗，找到攻击源的真正IP地址。

★ netstat命令----实时察看文击者

使用netstat命令可以获得所有联接被测主机的网络用户的IP地址。Windows系列、Unix系列、Linux等常用网络操作系统都可以使用“netstat”命令。

使用“netstat”命令的缺点是只能显示当前的连接，如果使用“netstat”命令时攻击者没有联接ip地址入侵，则无法发现攻击者的踪迹。为此，可以使用Scheduler建立一个日程安排，安排系统每隔一定的时间使用一次“netstat”命令，并使用netstat>>textfile格式把每次检查时得到的数据写入一个文本文件中，以便需要追踪网络攻击时使用。

★ 日志数据--最详细的攻击记录

系统的日志数据提供了详细的用户登录信息。在追踪网络攻击时，这些数据是最直接的、有效的证据。但是有些系统的日志数据不完善，网络攻击者也常会把自己的活动从系统日志中删除。因此，需要采取补救措施，以保证日志数据的完整性。

Unix和Linux的日志

Unix和Linux的日志文件较详细的记录了用户的各种活动，如登录的ID的用户名、用户IP地址、端口号、登录和退出时间、每个ID最近一次登录时间、登录的终端、执行的命令，用户ID的账号信息等。通过这些信息可以提供ttyname(终端号)和源地址，是追踪网络攻击的最重要的数据。

大部分网络攻击者会把自己的活动记录从日记中删去，而且UOP和基于X Windows的活动往往不被记录，给追踪者带来困难。为了解决这个问题，可以在系统中运行wrapper工具，这个工具记录用户的服务请求和所有的活动，且不易被网络攻击者发觉，可以有效的防止网络攻击者消除其活动纪录。

Windows NT和Windows 2000的日志

Windows NT和Windows 2000有系统日志、安全日志和应用程序日志等三个日志ip地址入侵，而与安全相关的数据包含在安全日志中。安全日志记录了登录用户的相关信息。安全日志中的数据是由配置所决定的。因此，应该根据安全需要合理进行配置，以便获得保证系统安全所必需的数据。

但是，Windows NT和Windows 2000的安全日志存在重大缺陷，它不记录事件的源，不可能根据安全日志中的数据追踪攻击者的源地址。为了解决这个问题，可以安装一个第三方的能够完整记录审计数据的工具。

防火墙日志

作为网络系统中的“堡垒主机”，防火墙被网络攻击者攻陷的可能性要小得多。因此，相对而言防火墙日志数据不太容易被修改，它的日志数据提供最理想的攻击源的源地址信息。

防火墙能够记录下所有流经防火墙的访问，同时可以得出日志记录，还能够对网络的使用情况进行统计，对可疑的操作，防护墙能及时的报警并提供相应的信息，如是否受到监测和攻击。同时，用户还可以通过查看“防护日志”，获得攻击者ip以及攻击目的端口（如下图所示ddos防火墙防御成功日志），利用“防护日志”功能提供的详细信息，在“安全策略”设置具体的端口保护规则，对访问者的端口连接请求进行限制或者是添加信任。卜.载::具组,开启连接等,我们信息不能放在的主机上,否则也可能被必须给予进行这些行为的权限,而且这些信息也是入侵者发现,从而得知该系统是一个.冈此必须将信息数据包存放在一个安全的主机上.通我们所想要分析的一部分.如果不允许过这层保护让信息尽可能地完整利安全,在此期间任务对外的连接数据包,这时当有入侵者进入系统时,只需要呆在系统内很短的时问,就会发现有异 可采川多种方法, 卜.面就这些技术进行讨论.常,进而清除他们所有的踪迹.所以,必须允许入 信息捕捉的第一重机制就是防火墙.防火墒可侵者进行大部分的操作,但是对丁.攻击其他系统的 以川米进行信息的控制,还能够州米截取我们所要需求,如发动拒绝服务攻击、对外部网络进行扫描的信息.它可以记录所有进入以及离开的以及利川漏洞使州攻击程序攻击他人的行为,则一 连接信息.设定防火墙不仅仅可以记录所有的连接企图,还可及时发出警告信息.多数的珏。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-116887-1.html