Защита файлов журналов в nt

В первую очередь для защиты файлов журнала нужно ограничить физический доступ к серверу. Одним из немногих методов изменения файлов журнала является перезагрузка системы. Если взломщик не сможет добраться до сервера, он не сможет изменить файлы журнала. Кроме того, большинство методов защиты файлов журнала под UNIX подходят и для NT. Ниже приведен список основных действий, которые нужно выполнить для защиты журналов в NT.

• Установить правильные права доступа к файлам журнала.

• Использовать отдельный сервер.

• Проводить регулярное резервное копирование журналов

• Использовать одноразовое накопители.

• Кодировать файлы журнала.

• Регулярно просматривать файлы журнала.

Существуют также средства от сторонних производителей, которые работают с системой syslog и таким образом облегчают отправку журналов на отдельный сервер. В их число входят:

• SL4NT —можно получить по адресу: http://www.netal.com/sl4nt.htm

• Kiwi's syslog —можно получить по адресу: http: //www.kiwi-enterprises.com

Кроме того, если ваши серверы UNIX и NT отправляют файлы журналов на одну машину, это значительно облегчает администрирование всей системы.

Информация о файлах

Информация о файлах также может быть использована для обнаружения взлома. В большинстве случаев при создании люка взломщик должен изменить некоторые системные файлы. Помните, что независимо от типа операционной системы, всегда существуют файлы, которые отвечают за ее работу. Эти файлы никогда не должны изменяться. Для создания люка взломщик должен изменить некоторые из них. Таким образом, для скрытия следов присутствия взломщик должен скрыть изменения в системных файлах.

Взгляд со стороны взломщика

Очевидно, что взломщику крайне важно сделать так, чтобы после проникновения в систему и создания люков система выглядела так же, как до проникновения. Таким образом, все файлы, которые были изменены, следует привести к предыдущему виду. С датой, это сделать легко: для этого достаточно запомнить первоначальную дату перезаписи и изменить ее после редактирования файла. Поскольку система не знает, что дата создания была изменена, она примет ее. Таким образом, если измените дату создания, все будут считать, что файл не изменялся.

Существует несколько утилит под UNIX, которые можно скачать по адресу: ftp://ftp.technotronic.com/unix. Эти утилиты позволяют изменять атрибуты файлов. Одной из таких программ является fix.с, которая позволяет изменять контрольную сумму и прочие атрибуты файла. Кроме того, утилиты изменения атрибутов имеют некоторые программы из наборов взломщика. Помните, что такая информация, по сути, является только атрибутом и хранится в файле. Вы можете установить атрибут размера файла равным 1 Мбайт, тогда как реальный размер будет равен 15 Мбайт. Большинство наборов для подмены файлов не только создают люки в системе, но также скрывают следы присутствия взломщика.

Под NT существует не много утилит, которые позволяют взломщику скрывать следы.Однако, как было показано на примере даты и времени, кое-что все таки можно сделать. В принципе программу скрытия следов написать довольно просто.