我們在日志分析軟件七種告警(非上班時間訪問，非上班地點訪問，密碼猜測，賬號猜測，賬號猜測成功、敏感文件操作告警和高危命令操作)的基礎上有增加了主機掃描，端口掃描，非法外聯(lián)告警的內容。
創(chuàng)新互聯(lián)公司是一家專注于成都網(wǎng)站建設、成都網(wǎng)站設計與策劃設計,新野網(wǎng)站建設哪家好?創(chuàng)新互聯(lián)公司做網(wǎng)站,專注于網(wǎng)站建設10年,網(wǎng)設計領域的專業(yè)建站公司;建站業(yè)務涵蓋:新野等地區(qū)。新野做網(wǎng)站價格咨詢:18982081108主機掃描是指在一臺機器上對內網(wǎng)或者外網(wǎng)一個網(wǎng)段進行掃描，目的是要發(fā)現(xiàn)網(wǎng)絡中存活的主機，為下一步的操作打下基礎。這條告警和下面的端口掃描和非法外聯(lián)都屬于網(wǎng)絡層面的告警，前提也是需要配置日志策略。在linux系統(tǒng)中大部分都內置了iptabe防火墻，可以利用iptable防火墻的日志功能進行采集日志，然后進行分析這些告警。下面介紹一下日志配置：
1、在linux下執(zhí)行一下命令，可以是iptables的日志從syslog發(fā)送：
iptables-AOUTPUT-ptcp-jLOG--log-prefix"seci-iptables"--log-level4
iptables-AOUTPUT-pudp-jLOG--log-prefix"seci-iptables"--log-level4
2、配置syslog發(fā)送策略：
kern.warning@IP地址
需要注意的是*.info;mail.none;authpriv.none;cron.none;kern.none中要加上kern.none,不然就會重復發(fā)送，當然可以不要第一條，直接在info中發(fā)送也是可以的。
3、從起syslog服務:
servicersyslogrestart
4、安裝nmap，下面以centos為例：
yuminstallnmap
經(jīng)過以上配置就可以配置好防護墻日志發(fā)送策略。
驗證過程，首先要進行配置，合法端口。詳見下圖：
執(zhí)行nmap命令：nmap-sP192.168.21.1-20，掃描20臺主機。
查看告警：
然后查看告警詳情：
可以發(fā)現(xiàn)，nmap在主機發(fā)現(xiàn)的掃描中，主要探測了443和80端口，這個時候告警會產(chǎn)生兩條主機掃描的告警。
端口掃描是指在一臺機器上對內網(wǎng)或者外網(wǎng)的另一臺機器進行端口掃描，目的是要發(fā)現(xiàn)網(wǎng)絡中主機開放的端口信息，為下一步的操作打下基礎。這條告警也屬于網(wǎng)絡層面的告警，前提也是需要配置日志策略。詳細的配置信息詳見主機掃描。
驗證過程：執(zhí)行nmap命令：nmap-p20-80192.168.21.1地址，掃描61個端口。
查看告警：
查看詳情：
可以看出掃描了此機器的端口多個不同端口的信息。
非法外聯(lián)是指在一臺機器上不該有的其他連接信息，比如服務器，正常情況下可能只開放了80，22端口，而且一般服務器是被動接收的日志，當發(fā)現(xiàn)日志中有主動發(fā)起的連接而且不是規(guī)定的端口，很有可能是中了***，這個時候要特別關注。這條告警也屬于網(wǎng)絡層面的告警，前提也是需要配置日志策略。詳細的配置信息詳見主機掃描。
驗證過程，首先要進行配置，合法端口。詳見下圖：
表示本機22和514端口是合法的端口其他端口都是非法端口，執(zhí)行上面主機掃描或者端口掃描的nmap命令，即可產(chǎn)生非法外聯(lián)告警。
查看詳情：
從中可以看出有非法外聯(lián)行為，里面的日志有的是和主機掃描或者端口掃描重復。
另外有需要云服務器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。
重慶分公司
重慶分公司
