第一篇 日志分析基础 1
第1章 网络日志获取与分析 1
1.1 网络环境日志分类 1
1.1.1 UNIX/Linux系统日志 1
1.1.2 Windows日志 2
1.1.3 Windows系统日志 3
1.1.4 网络设备日志 4
1.1.5 应用系统的日志 4
1.2 Web日志分析 4
1.2.1 访问日志记录过程 5
1.2.2 Apache访问日志的作用 5
1.2.3 访问日志的位置 5
1.2.4 访问日志格式分析 6
1.2.5 HTTP返回状态代码 6
1.2.6 记录Apache虚拟机日志 7
1.2.7 Web日志统计举例 7
1.2.8 Apache错误日志分析 9
1.2.9 日志轮询 11
1.2.10 清空日志的技巧 12
1.2.11 其他Linux平台Apache日志位置 13
1.2.12 Nginx日志 13
1.2.13 Tomcat日志 13
1.2.14 常用Apache日志分析工具 14
1.3 FTP服务器日志解析 15
1.3.1 分析vsftpd.log和xferlog 16
1.3.2 中文对Vsftp日志的影响 18
1.3.3 用Logparser分析FTP日志 18
1.4 用LogParser分析Windows系统日志 21
1.4.1 LogParser概述 21
1.4.2 LogParser结构 21
1.4.3 安装LogParser 21
1.4.4 LogParser应用举例 21
1.4.5 图形化分析输出 25
1.5 Squid服务日志分析 26
1.5.1 Squid日志分类 26
1.5.2 典型Squid访问日志分析 26
1.5.3 Squid时间戳转换 28
1.5.4 Squid日志位置 29
1.5.5 图形化日志分析工具 29
1.5.6 其他UNIX/Linux平台的Squid位置 29
1.6 NFS服务日志分析 30
1.6.1 Linux的NFS日志 31
1.6.2 Solaris的NFS服务器日志 31
1.7 iptables日志分析 35
1.8 Samba日志审计 38
1.8.1 Samba默认提供的日志 38
1.8.2 Samba审计 39
1.9 DNS日志分析 40
1.9.1 DNS日志的位置 40
1.9.2 DNS日志的级别 41
1.9.3 DNS查询请求日志实例解释 41
1.9.4 DNS分析工具dnstop 42
1.10 DHCP服务器日志 43
1.11 邮件服务器日志 45
1.11.1 Sendmail 45
1.11.2 Postfix 45
1.12 Linux下双机系统日志 46
1.12.1 Heartbeat的日志 46
1.12.2 备用节点上的日志信息 47
1.12.3 日志分割 47
1.13 其他UNIX系统日志分析GUI工具 47
1.13.1 用SMC分析系统日志 47
1.13.2 Mac OS x的GUI日志查询工具 48
1.14 可视化日志分析工具 49
1.14.1 彩色日志工具ccze 49
1.14.2 动态日志查看工具logstalgia 50
1.14.3 三维日志显示工具gource 51
1.14.4 用AWStats监控网站流量 52
第2章 UNIX/Linux系统取证 57
2.1 常见IP追踪方法 57
2.1.1 IP追踪工具和技术 57
2.1.2 DoS/DDoS攻击源追踪思路 59
2.2 重要信息收集 60
2.2.1 收集正在运行的进程 60
2.2.2 查看系统调用 61
2.2.3 收集／proc系统中的信息 64
2.2.4 UNIX文件存储与删除 64
2.2.5 硬盘证据的收集方法 65
2.2.6 从映像的文件系统上收集证据 66
2.2.7 用ddrescue恢复数据 69
2.2.8 查看详细信息 70
2.2.9 收集隐藏目录和文件 71
2.2.10 检查可执行文件 72
2.3 常用搜索工具 72
2.3.1 特殊文件处理 72
2.3.2 The Coroner's Toolkit（TCT工具箱） 73
2.3.3 Forensix工具集 74
2.4 集成取证工具箱介绍 74
2.4.1 用光盘系统取证 74
2.4.2 屏幕录制取证方法 75
2.5 案例一：闪现Segmentation Fault为哪般 76
事件背景 76
互动问答 80
疑难解析 80
预防措施 82
2.6 案例二：谁动了我的胶片 83
事件背景 83
了解业务流程 83
公司内鬼所为？ 84
取证分析 85
遗忘的Squid服务器 86
互动问答 88
疑点分析 88
诱捕入侵者 89
疑难解析 90
预防措施 92
第3章 建立日志分析系统 93
3.1 日志采集基础 93
3.1.1 Syslog协议 93
3.1.2 Syslog日志记录的事件 96
3.1.3 Syslog.conf配置文件详解 96
3.1.4 Syslog操作 97
3.1.5 Syslog的安全漏洞 98
3.1.6 Rsyslog 98
3.1.7 Syslog-ng 100
3.2 时间同步 100
3.2.1 基本概念 100
3.2.2 识别日志中伪造的时间信息 101
3.2.3 时间同步方法 101
3.3 网络设备日志分析与举例 101
3.3.1 路由器日志分析 102
3.3.2 交换机日志分析 102
3.3.3 防火墙日志分析 103
3.3.4 实战：通过日志发现ARP病毒 105
3.3.5 实战：交换机环路故障解决案例 108
3.4 选择日志管理系统的十大问题 109
3.5 利用日志管理工具更轻松 114
3.5.1 日志主机系统的部署 115
3.5.2 日志分析与监控 116
3.5.3 利用Eventlog Analyzer分析网络日志 117
3.5.4 分析防火墙日志 120
3.6 用Sawmill搭建日志平台 120
3.6.1 系统简介 120
3.6.2 部署注意事项 121
3.6.3 安装举例 121
3.6.4 监测网络入侵 124
3.7 使用Splunk分析日志 124
3.7.1 Splunk简介 124
3.7.2 Splunk安装 124
3.7.3 设置自动运行 125
3.7.4 系统配置 126
3.7.5 设置日志分析目录 127
第二篇 日志分析实战 134
第4章 DNS系统故障分析 134
4.1 案例三：邂逅DNS故障 134
事件背景 134
查看防火墙日志 136
外部防火墙 137
内部防火墙（NAT） 138
互动问答 138
取证分析 138
问题解答 141
预防措施 141
4.2 DNS漏洞扫描方法 143
4.2.1 DNS扫描的关键技术 143
4.2.2 检查工具 143
4.3 DNS Flood Detector让DNS更安全 145
4.3.1 Linux下DNS面临的威胁 145
4.3.2 BIND漏洞 145
4.3.3 DNS管理 146
4.3.4 应对DNS Flood攻击 146
4.3.5 DNS Flood Detector保安全 147
第5章 DoS防御分析 149
5.1 案例四：网站遭遇DoS攻击 149
事件背景 149
交互问答 151
事件推理 151
针对措施 152
疑难解答 154
案例总结 155
DoS扩展知识 156
5.2 案例五：“太囧”防火墙 157
事件背景 157
路由器部分日志文件 159
防火墙日志文件 159
互动问答 160
调查分析 160
答疑解惑 161
预防措施 162
第6章 UNIX后门与溢出案例分析 163
6.1 如何防范rootkit攻击 163
6.1.1 认识rootkit 163
6.1.2 rootkit的类型 163
6.2 防范rootkit的工具 164
6.2.1 使用chkrootkit工具 164
6.2.2 Rootkit Hunter工具 166
6.3 安装LIDS 167
6.3.1 LIDS的主要功能 167
6.3.2 配置LIDS 167
6.3.3 使用Lidsadm工具 169
6.3.4 使用LIDS保护系统 170
6.4 安装与配置AIDE 171
6.4.1 在Solaris中安装AIDE 172
6.4.2 用AIDE加固OSSIM平台 173
6.4.3 Tripwire 175
6.5 案例六：围堵Solaris后门 176
入侵背景 176
分析脚本文件bd 177
分析脚本doc 179
分析脚本文件ps 180
分析脚本update（一个嗅探器） 180
分析脚本milk 180
发现need.tar被植入系统 180
问题 182
答疑解惑 182
预防措施 182
6.6 案例七：遭遇溢出攻击 183
事件背景 184
分析日志 184
网络入侵检测系统日志（取样） 185
发现系统账号问题 186
问题 189
案例解码 189
分析解答 190
预防措施 191
6.7 案例八：真假root账号 191
事件背景 192
恢复root密码 193
取证分析 194
互动问答 195
问题解答 196
预防措施 197
6.8 案例九：为rootkit把脉 197
事件背景 197
可疑的／etc/xinetd.conf记录 198
互动问答 202
事件分析 202
疑难解答 204
预防措施 204
第7章 UNIX系统防范案例 205
7.1 案例十：当网页遭遇篡改之后 205
事件背景 205
日志获取 205
互动问答 206
入侵事件剖析 206
疑难解答 209
防护措施 211
Web漏洞扫描工具——Nikto 212
7.2 案例十一：UNIX下捉虫记 214
事件背景 214
取证分析 215
互动问答 217
入侵解析 217
Sadmind/IIS蠕虫分析 217
Unicode攻击逆向分析 219
问题解答 220
预防措施 221
7.3 案例十二：泄露的裁员名单 221
事件背景 221
取证分析 222
互动问答 223
答疑解惑 224
预防措施 225
第8章 SQL注入防护案例分析 227
8.1 案例十三：后台数据库遭遇SQL注入 227
案例背景 227
互动问答 230
分析过程 230
疑难解答 231
预防与补救措施 232
8.2 案例十四：大意的程序员之SQL注入 232
事件背景 232
互动问答 234
分析取证 234
总结 235
答疑解惑 235
总结 237
预防措施 239
8.3 利用OSSIM监测SQL注入 239
8.3.1 SQL注入攻击的正则表达式规则 239
8.3.2 用OSSIM检测SQL注入 240
8.3.3 OSSIM系统中的Snort规则 241
8.4 LAMP网站的SQL注入预防 242
8.4.1 服务器端的安全配置 242
8.4.2 PHP代码的安全配置 243
8.4.3 PHP代码的安全编写 243
8.5 通过日志检测预防SQL注入 244
8.5.1 通过Web访问日志发现SQL攻击 244
8.5.2 用Visual Log Parser分析日志 245
第9章 远程连接安全案例 247
9.1 案例十五：修补SSH服务器漏洞 247
事件背景 247
SSH被攻击的日志举例 250
加固SSH服务器 251
通过OSSIM实现SSH登录失败告警功能 252
预防措施 254
9.2 案例十六：无辜的“跳板” 255
事件背景 255
交互问答 257
案情分析 257
疑难解答 258
预防措施 258
第10章 Snort系统部署及应用案例 259
10.1 Snort安装与使用 259
10.1.1 准备工作 259
10.1.2 深入了解Snort 260
10.1.3 安装Snort程序 262
10.1.4 维护Snort 264
10.1.5 Snort的不足 266
10.2 Snort日志分析 267
10.2.1 基于文本的格式 267
10.2.2 典型攻击日志举例 269
10.2.3 Snort探针部署 269
10.2.4 日志分析工具 270
10.3 Snort规则详解 270
10.3.1 Snort规则分析 270
10.3.2 编写Snort规则 271
10.4 基于OSSIM平台的WIDS系统 274
10.4.1 安装无线网卡 275
10.4.2 设置OSSIM无线传感器 278
10.5 案例研究十七：IDS系统遭遇IP碎片攻击 280
事件背景 280
故障处理 283
数据包解码 284
疑难问题 288
问题解答 289
防范策略 289
Snort与iptables联动 289
测试效果 289
IP碎片攻击的预防措施 290
评估NIDS工具 291
IDS系统与网络嗅探器的区别 291
总结 291
10.6 案例十八：智取不速之客 292
事件背景 292
互动问答 295
取证分析 295
疑难解答 297
预防措施 298
案例启示 298
第11章 WLAN案例分析 299
11.1 WLAN安全漏洞与威胁 299
11.1.1 WLAN主要安全漏洞 299
11.1.2 WLAN面对的安全威胁 299
11.2 案例十九：无线网遭受的攻击 300
事件背景 300
AP的日志 302
寻找非法AP接入点 302
互动问答 303
将几段事件还原 303
疑点解析 304
预防措施 305
11.2.1 WIFI上网日志的收集 305
11.2.2 用开源NAC阻止非法网络访问 305
11.2.3 企业中BYOD的隐患 308
11.3 案例二十：无线会场的“不速之客” 308
事件背景 308
取证分析 311
第12章 数据加密与解密案例 314
12.1 GPG概述 314
12.1.1 创建密钥 315
12.1.2 导入和签订密钥 315
12.1.3 加密和解密 315
12.1.4 签订和验证 316
12.2 案例二十一：“神秘”的加密指纹 316
事件背景 316
疑难问题 320
案情解码 320
中间人攻击 320
MITM通常采用的手段 322
一种ARP欺骗的预防措施 323
分析攻击过程 323
答疑解惑 324
预防措施 325
第三篇 网络流量与日志监控 326
第13章 网络流量监控 326
13.1 网络监听关键技术 326
13.1.1 网络监听 326
13.1.2 SNMP协议的不足 326
13.1.3 监听关键技术 327
13.1.4 NetFlow与sFlow的区别 327
13.1.5 协议和应用识别 327
13.1.6 网络数据流采集技术 327
13.1.7 SPAN的局限 328
13.2 用NetFlow分析网络异常流量 328
13.2.1 NetFlow的Cache管理 329
13.2.2 NetFlow的输出格式 329
13.2.3 NetFlow的抽样机制 329
13.2.4 NetFlow的性能影响 330
13.2.5 NetFlow在蠕虫病毒监测中的应用 330
13.3 VMware ESXi服务器监控 335
13.4 应用层数据包解码 339
13.4.1 概述 339
13.4.2 系统架构 340
13.4.3 Xplico的数据获取方法 340
13.4.4 Xplico部署 341
13.4.5 应用Xplico 341
13.4.6 深入分析Xplico 344
13.5 网络嗅探器的检测及预防 348
13.5.1 嗅探器的检测 348
13.5.2 网络嗅探的预防 348
第14章 OSSIM综合应用 350
14.1 OSSIM的产生 350
14.1.1 概况 350
14.1.2 从SIM到OSSIM 351
14.1.3 安全信息和事件管理（SIEM） 351
14.2 OSSIM架构与原理 352
14.2.1 OSSIM架构 352
14.2.2 Agent事件类型 357
14.2.3 RRD绘图引擎 360
14.2.4 OSSIM工作流程分析 360
14.3 部署OSSIM 360
14.3.1 准备工作 360
14.3.2 OSSIM服务器的选择 362
14.3.3 分布式OSSIM系统探针布署 364
14.3.4 OSSIM系统安装步骤 364
14.4 OSSIM安装后续工作 370
14.4.1 时间同步问题 370
14.4.2 系统升级 371
14.4.3 防火墙设置 372
14.4.4 访问数据库 372
14.4.5 OSSIM数据库分析工具 373
14.4.6 同步OpenVAS插件 375
14.4.7 安装远程管理工具 376
14.4.8 安装X-Windows 378
14.5 使用OSSIM系统 380
14.5.1 熟悉主界面 380
14.5.2 SIEM事件控制台 382
14.6 风险评估方法 385
14.6.1 风险评估三要素 385
14.6.2 OSSIM系统风险度量 387
14.7 OSSIM关联分析技术 388
14.7.1 关联分析 388
14.7.2 OSSIM的通用关联检测规则 390
14.8 OSSIM日志管理平台 394
14.8.1 OSSIM日志处理流程 394
14.8.2 Snare 395
14.8.3 通过WMI收集Windows日志 396
14.8.4 配置OSSIM 397
14.8.5 Snare与WMI的区别 398
14.9 OSSIM系统中的IDS应用 399
14.9.1 HIDS/NIDS 399
14.9.2 OSSEC HIDS Agent安装 400
14.9.3 在ESXi中安装OSSEC 411
14.9.4 OSSEC代理监控的局限 412
14.10 OSSIM流量监控工具应用 412
14.10.1 流量过滤 412
14.10.2 Ntop监控 413
14.10.3 流量分析 414
14.10.4 Ntop故障排除 417
14.10.5 网络天气图 417
14.10.6 设置NetFlow 418
14.10.7 Nagios监视 419
14.10.8 与第三方监控软件集成 422
14.11 OSSM应用资产管理 423
14.11.1 OCS Inventory NG架构 424
14.11.2 OCS安装与使用 424
14.12 OSSM在蠕虫预防中的应用 425
14.13 监测shellcode 427
14.14 OSSIM在漏洞扫描中的应用 429
14.14.1 漏洞评估方法 430
14.14.2 漏洞库 430
14.14.3 采用OpenVAS扫描 431
14.14.4 分布式漏洞扫描 432
14.14.5 Metasploit的渗透测试 435
14.14.6 在Metasploit中加载Nessus 437
14.15 常见OSSIM应用问答 438