IDS-信息收集

入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。而且，需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性却是可疑行为或入侵的最好标识。

当然，入侵检测很大程度上依赖于收集信息的可靠性和正确性，因此，很有必要只利用所知道的真正的和精确的软件来报告这些信息。因为黑客经常替换软件以搞混和移走这些信息，例如替换被程序调用的子程序、库和其它工具。黑客对系统的修改可能使系统功能失常并看起来跟正常的一样，而实际上不是。例如，unix系统的PS指令可以被替换为一个不显示侵入过程的指令，或者是编辑器被替换成一个读取不同于指定文件的文件（黑客隐藏了初试文件并用另一版本代替）。这需要保证用来检测网络系统的软件的完整性，特别是入侵检测系统软件本身应具有相当强的坚固性，防止被篡改而收集到错误的信息。

入侵检测利用的信息一般来自以下四个方面：

1.系统和网络日志文件

黑客经常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测入侵的必要条件。日志中包含发生在系统和网络上的不寻常和不期望活动的证据，这些证据可以指出有人正在入侵或已成功入侵了系统。通过查看日志文件，能够发现成功的入侵或入侵企图，并很快地启动相应的应急响应程序。日志文件中记录了各种行为类型，每种类型又包含不同的信息，例如记录“用户活动”类型的日志，就包含登录、用户ID改变、用户对文件的访问、授权和认证信息等内容。很显然地，对用户活动来讲，不正常的或不期望的行为就是重复登录失败、登录到不期望的位置以及非授权的企图访问重要文件等等。

2.目录和文件中的不期望的改变

网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标。目录和文件中的不期望的改变（包括修改、创建和删除），特别是那些正常情况下限制访问的，很可能就是一种入侵产生的指示和信号。黑客经常替换、修改和破坏他们获得访问权的系统上的文件，同时为了隐藏系统中他们的表现及活动痕迹，都会尽力去替换系统程序或修改系统日志文件。

3.程序执行中的不期望行为

网络系统上的程序执行一般包括操作系统、网络服务、用户起动的程序和特定目的的应用，例如数据库服务器。每个在系统上执行的程序由一到多个进程来实现。每个进程执行在具有不同权限的环境中，这种环境控制着进程可访问的系统资源、程序和数据文件等。一个进程的执行行为由它运行时执行的操作来表现，操作执行的方式不同，它利用的系统资源也就不同。操作包括计算、文件传输、设备和其它进程，以及与网络间其它进程的通讯。

一个进程出现了不期望的行为可能表明黑客正在入侵你的系统。黑客可能会将程序或服务的运行分解，从而导致它失败，或者是以非用户或管理员意图的方式操作。

4. 物理形式的入侵信息

这包括两个方面的内容，一是未授权的对网络硬件连接；二是对物理资源的未授权访问。黑客会想方设法去突破网络的周边防卫，如果他们能够在物理上访问内部网，就能安装他们自己的设备和软件。依此，黑客就可以知道网上的由用户加上去的不安全（未授权）设备，然后利用这些设备访问网络。例如，用户在家里可能安装Modem以访问远程办公室，与此同时黑客正在利用自动工具来识别在公共电话线上的Modem，如果一拨号访问流量经过??

网络安全的后门。黑客就会利用这个后门来访问内部网，从而越过了内部网络原有的防护措施，然后捕获网络流量，进而攻击其它系统，并偷取敏感的私有信息等等。

网络的安全性，很大程度的上依赖于我们收集的信息的准确性。因为现在非法入侵越来越狡猾，不会光明正大的在系统中留下痕迹。他们在攻击的过程中，往往会采取一些隐蔽的手段，或者在攻击完成之后删除一些信息，如可以替换被程序调用的子程序、记录文件和其他工具等等。经过他们的对相关信息的调整，可以让系统的日志跟正常的差不多。所以，随着黑客技术的深入，信息收集的难度也比较大。

第一步：收集系统日志以及网络日志文件。

俗话说，燕过留声，人过留名。无论再怎么高超的黑客，要入侵企业网络之前，肯定会在系统日志或者网络日志中留下一些蛛丝马迹，只是明不明显的区别而已。所以，网络管理员需要对这个系统日志与网络日志格外的关注。

如一些系统或者网络失败访问日志，会记录一些不寻常的或者不成本的访问记录。如当一个帐户试图多次用管理员帐户访问文件管理系统，当密码尝试错误三次的时候，就会在文件服务器系统中记录下这个访问信息，包括访问的时间、IP地址等等。当我们网络管理员收集到这条信息后，就需要注意可能有人在再这台文件服务器的注意了。我们可以根据这个IP地址，找到那台攻击的主机。不过，很可能这台主机不是始作俑者，而是被人家当做肉鸡了。总之，我们看到这个信息之后，我们就需要为文件服务器设置一个比较复杂的管理员密码了。

再如有些应用系统中，有一个“帐户活动”日志。这个日志中会记录这个帐户在系统中所进行的操作。包括什么时候利用什么角色登陆到系统，进行了哪些操作；并且还会记录这个帐户的一些必要的认证信息。通过这些信息的话，我们可以及时的发现系统入侵的迹象。如系统管理员发现一个管理员帐户在某个时间登陆了这个应用系统，但是，自己那时候根本没有登陆。或者普通员工的帐户在非上班时间多次登陆，那么就说明这个信息化应用系统有可能已经被人攻破了。他们乘我们不注意的时候，在偷偷的窃取系统中的信息。为此，我们必须要通过一些措施找到这个非法的攻击者，或者及时更改用户名与密码，防止进一步扩大损失，等等。

总之，相关的日志信息会记录某个非法用户多次尝登陆某个系统，以及记录某个非法用户多次试图访问未经授权的文件或者系统。而这些信息是我们以后作好防治措施的依据。所以，我们信息收集的第一步，就是要关注相关的日志信息。在这些日志文件中，找到攻击者蛛丝马迹。

第二步：非正常的目录以及非正常的文件。

当黑客攻击成功后，取得某个管理员帐户之后，为了进一步加固自己的成果，会在系统中设置一些文件夹、目录或者文件，以进行下一步的攻击行为。如有一些攻击者在取得系统的管理员轧帐户与密码之后，会在系统中建立一个文件夹，上传一些木马攻击。并且设置相关的任务调度计划，当某个特定的时间，运行这个文件夹中的程序等等。所以，我们若能够及早的发现这些非正常的文件夹以及文件信息，就可以及早的发现攻击的迹象，从而及时采取相关的措施。

所以，操作系统与应用软件中的目录与文件、文件夹的非正常改变，包括增加、删除、修改等等，特别是一般情况下受限制访问的文件夹以及目录非正常的改变，很可能是一种入侵产生的指示或者信号。

一般来说，有如下几种情况。

一是应用程序的执行路径发生了改变。如有些企业通过MSN跟可户进行联系。当非法攻击着侵入企业网络，取得某台主机的管理员密码之后，就可以改变用户桌面上的MSN程序图标的路径。当用户双击打开这个程序的话，打开的不是原来的MSN程序，而可能是一个绑有木马的MSN程序，可以窃取用户了聊天记录、帐户名与密码等等。

二是可疑的文件夹。当非法攻击者取得管理员用户名与密码之后，利用TELENT程序远程登陆，然后在主机上建立文件夹，上传木马或者其他的非法软件，然后通过操作系统本身的任务调度命令，在一个特定的时刻运行这个文件夹中的程序。这是很多非法攻击者常用的手段。所以，我们若能够及时的发现这些可疑的文件夹信息，就可以及早的发现攻击的行为，从而减少由此带来的损失，等等。一般来说，我们借助一些检测软件，就可以收集到这些信息。

三是日志文件的非法修改。上面我们说过，非法攻击者拜访过企业的网络主机之后，肯定会在系统日志或者网络日志中留下蛛丝马迹。在他们攻击得手之后，为了隐藏他们在系统中的表现以及攻击的痕迹，都会尽力的去替换系统日志中的相关内容。为此，若能够及时的收集这些信息的话，则即使他们更改了日志中的内容，我们也能够及早的发现，从而采取对应的措施。

第三步：非正常程序的运行信息。

黑客攻击企业网络信息的话，往往不会只是取得管理员权限那么简单。他们攻击系统的最终目的，是为了窃取相关的信息，如密码等等；或者把企业的网络主机当作肉鸡，作为攻击其他网络的跳板等等。无论是出于哪种目的，除非直接窃取电脑上的文件，不然的话，一般都需要通过在被攻击的主机后台运行一些程序，如键盘记录工具软件等等，才能够达到类似的目的。

所以，及时的收集这些非正常程序运行的信息，可以及早的发现企业网络被攻击的迹象。而一般来说，收集这些非正常的程序，就是需要收集一些进程信息。

因为在每个系统上执行的程序都是由一到几个进程来实现的。而且，一个进程的执行行为又是由他运行时执行的操作来表现的。操作执行的方式不同，利用系统资源也就不同。若在系统进程中，出现了一个我们不希望看到的进程，或者个这个进程出现了我们网络管理员不期望的行为，如试图往注册表中加入一些非法的信息等等，如建立隐形帐户等等，这就表示有攻击者存在。

若我们感到网络速度明显变慢的时候，可以通过查看系统的进程来了解相关的信息。但是，若靠手工收集这些进程信息的话，是不怎么现实的。一方面工作量比较大，另一方面这些非法的进程往往不会时刻都运行着。当他执行完一定的任务之后，就会迅速的退出，防止为我们发现。所以，我们就需要通过一些工具，实时的收集这些进程信息。如此的话，我们就可以迅速的找到入侵者的踪迹，在他们在还没有造成更大的破坏之前，把他们消灭掉。

总之，入侵信息的收集是一个比较复杂的体系。需要在计算机网络系统中若干不同关键点，如不同网段与不同主机之间收集信息。这主要是为了全方位的了解相关的入侵信息。而且非法攻击者往往善于寻找企业网络中的薄弱环节。故，网络入侵信息的收集，还需要注意一个全面性。

但是，全面收集网络入侵信息的话，往往工作量比较大。若单纯的靠手工去收集这些信息的话，是不怎么现实的；工作量大而且容易漏掉。所以，我们需要采用一些工具，来帮助我们收集这些内容。现在市面上的一些入侵检测工具，就都带有这些信息的收集功能。以为只有在这些信息的基础之上，这些工具才能够对此加以分析，得出可能的入侵结果。

另外一些系统也带有自动警告功能，可以自动把一些他们认为可疑的信息发送给我们网络安全管理员。如当有人多次试图利用管理员帐户登陆路由器的时候，若密码错了三次，则就会自动发送邮件给网络安全管理人员，提醒他们存在这个非正常的登陆事件。让我们判断这个是否是正常的。这也是一个很实用的功能，不过这需要占用额外的资源，所以，默认情况下这个功能都是没有打开的。若需要的话，则要由管理员进行手工的配置。对于一些重要的网络设备，还是建议开启这项功能。