做好网络安全要注意收集入侵信息

从总体上来说，网络入侵检测需要分为两个部门，一是入侵信息的收集；二是在收集信息的基础之上，对相关数据进行分析。然后我们网络管理员再根据相关的结果采取对应的措施。可见，数据收集是入侵检测、提高企业网络安全的基础；是一个必须要经历的阶段。

网络的安全性，很大程度的上依赖于我们收集的信息的准确性。因为现在非法入侵越来越狡猾，不会光明正大的在系统中留下痕迹。他们在攻击的过程中，往往会采取一些隐蔽的手段，或者在攻击完成之后删除一些信息，如可以替换被程序调用的子程序、记录文件和其他工具等等。经过他们的对相关信息的调整，可以让系统的日志跟正常的差不多。所以，随着黑客技术的深入，信息收集的难度也比较大。下面笔者就入侵信息的收集这个话题，谈谈自己的想法。

收集系统日志以及网络日志文件

俗话说，燕过留声，人过留名。无论再怎么高超的黑客，要入侵企业网络之前，肯定会在系统日志或者网络日志中留下一些蛛丝马迹，只是明不明显的区别而已。所以，网络管理员需要对这个系统日志与网络日志格外的关注。

如一些系统或者网络失败访问日志，会记录一些不寻常的或者不成本的访问记录。如当一个帐户试图多次用管理员帐户访问文件管理系统，当密码尝试错误三次的时候，就会在文件服务器系统中记录下这个访问信息，包括访问的时间、IP地址等等。当我们网络管理员收集到这条信息后，就需要注意可能有人在再这台文件服务器的注意了。我们可以根据这个IP地址，找到那台攻击的主机。不过，很可能这台主机不是始作俑者，而是被人家当做肉鸡了。总之，我们看到这个信息之后，我们就需要为文件服务器设置一个比较复杂的管理员密码了。

再如有些应用系统中，有一个“帐户活动”日志。这个日志中会记录这个帐户在系统中所进行的操作。包括什么时候利用什么角色登陆到系统，进行了哪些操作；并且还会记录这个帐户的一些必要的认证信息。通过这些信息的话，我们可以及时的发现系统入侵的迹象。如系统管理员发现一个管理员帐户在某个时间登陆了这个应用系统，但是，自己那时候根本没有登陆。或者普通员工的帐户在非上班时间多次登陆，那么就说明这个信息化应用系统有可能已经被人攻破了。他们乘我们不注意的时候，在偷偷的窃取系统中的信息。为此，我们必须要通过一些措施找到这个非法的攻击者，或者及时更改用户名与密码，防止进一步扩大损失，等等。