如何追踪黑客的网络攻击
2015-11-13 16:35:05
来源：
[导读] 网络是个大舞台，这个舞台中不光有安全人员也有黑客份子所组成。对于一些重要的部门，一旦网络遭到攻击，如何追踪网络攻击，追查到攻击者
入侵者的追踪(Intruder Tracing)在区域网路上可能你听过所谓「广播模式」的资料发送方法，此种方法不指定收信站，只要和此网路连结的所有网路设备皆为收信对象。但是这仅 仅在区域网路上能够实行,因为区域网路上的机器不多(和Internet比起来 )。如果象是Internet上有数千万的主机,本就不可能实施资料广播(至于IP Multicast算是一种限定式广播Restricted Broadcast,唯有被指定的机器会收到, Internet上其他电脑还是不会收到)。假设Internet上可以实施非限定广播，那随便一个人发出广播讯息，全世界的电脑皆受其影响，岂不世界大 乱?因此,任何区域网路内的路由器或是类似网路设备都不会将自己区域网路内的广播讯息转送出去。万一在WAN Port收到广播讯息，也不会转进自己的LAN Port中。而既然网路皆有发信站与收信站，用以标示信息发送者与信息接收者，除非对方使用一些特殊的封包封装方式或是使用防火墙对外连线，那么只要有人 和你的主机进行通讯(寄信或是telnet、ftp过来都算) 你就应该会知道对方的位址，如果对方用了防火墙来和你通讯，你最少也能够知道防火墙的位置。也正因为只要有人和你连线，你就能知道对方的位址，那么要不要 知道对方位置只是要做不做的问题而已。如果对方是透过一台UNIX主机和你连线，则你更可以透过ident查到是谁和你连线的。在实行TCP/IP通讯协 定的电脑上,通常可以用netstat指令来看到目前连线的状况。(各位朋友可以在win95、Novell以及UNIX试试看(注一)，在下面的连线状 况中，netstat指令是在win95上实行的，以看到目前自己机器(Local Address处)的telnetport有一台主机workstation.variox.int 由远端(Foreign Address处)连线进来并且配到1029号tcp port.而cc unix1主机也以ftpport连到workstation.variox.int去。所有的连线状况看得一清二楚。(如A、B)
A.在UNIX主机(ccunix1.variox.int)看netstat
B.另一端在Windows95(workstation.variox.int)看netstat,
当然，如果你想要把网路连线纪录给记录下来，你可以用cron table定时去跑： netstat>>filename，但是UNIX系统早已考虑到这一个需求，因此在系统中有一个专职记录系统事件的 Daemon:syslogd，应该有很多朋友都知道在UNIX系统的/var/adm下面有两个系统纪录档案：syslog与messages，一个是 一般系统的纪录，一个是核心的纪录。但是这两个档案是从哪边来的，又要如何设定呢?
系统的纪录基本上都是由syslogd (System Kernel LogDaemon)来产生，而syslogd的控制是由/etc/syslog.conf来做的。syslog.conf以两个栏位来决定要记录哪些东 西，以及记录到哪边去。一个最标准的sy
