- 相關(guān)推薦
手把手教你如何看路由器日志
日志對于網(wǎng)絡(luò )安全來(lái)說(shuō)非常重要，他記錄了系統每天發(fā)生的各種各樣的事情，你可以通過(guò)他來(lái)檢查錯誤發(fā)生的原因，或者受到攻擊時(shí)攻擊者留下的痕跡。路由器是各種信息傳輸的樞紐，被廣泛用于企事業(yè)單位的網(wǎng)絡(luò )建設中，承擔著(zhù)局域網(wǎng)之間及局域網(wǎng)與廣域網(wǎng)之問(wèn)連接的重任。下面由小編來(lái)談?wù)勅绾慰绰酚善魅罩尽?/p>
手把手教你如何看路由器日志1
Cisco是目前使用比較廣泛的一種路由器，在許多行業(yè)系統中有非常普遍的應用。以下是筆者在日常工作中積累的一些對Cisco路由器日志設置方面的經(jīng)驗，這些實(shí)例都在實(shí)際應用中調試通過(guò)并投入使用，供大家參考。 路由器的一些重要信息可以通過(guò)syslog機制在內部網(wǎng)絡(luò )的Unix主機上作日志。在路由器運行過(guò)程中，路由器會(huì )向日志主機發(fā)送包括鏈路建立失敗信息、包過(guò)濾信息等等日志信息，通過(guò)登錄到日志主機，網(wǎng)絡(luò )管理員可以了解日志事件，對日志文件進(jìn)行分析，可以幫助管理員進(jìn)行故障定位、故障排除和網(wǎng)絡(luò )安全管理。
1、syslog設備
首先介紹一下syslog設備，它是標準Unix，的跟蹤記錄機制，syslog可以記錄本地的一些事件或通過(guò)網(wǎng)絡(luò )記錄另外一個(gè)主機上的事件，然后將這些信息寫(xiě)到一個(gè)文件或設備中，或給用戶(hù)發(fā)送一個(gè)信息。syslog機制主要依據兩個(gè)重要的文件:/etc/syslogd(守護進(jìn)程)和 /etc /syslog.conf配置文件，syslogd的控制是由/etc/syslog.conf來(lái)做的。syslog.conf文件指明 syslogd程序記錄日志的行為，該程序在啟動(dòng)時(shí)查詢(xún)syslog.conf配置文件。該文件由不同程序或消息分類(lèi)的單個(gè)條目組成，每個(gè)占一行。對每類(lèi)消息提供一個(gè)選擇域和一個(gè)動(dòng)作域。這些域由tab隔開(kāi)(注意:只能用tab鍵來(lái)分隔，不能用空格鍵)，其中選擇域指明消息的類(lèi)型和優(yōu)先級;動(dòng)作域指明 sysloqd接收到一個(gè)與選擇標準相匹配的消息時(shí)所執行的動(dòng)作。每個(gè)選項是由設備和優(yōu)先級組成。也就是說(shuō)第一欄寫(xiě)"在什么情況下"及 "什么程度"。然后用TAB鍵跳到下一欄繼續寫(xiě) "符合條件以后要做什么"。當指明一個(gè)優(yōu)先級時(shí)，syslogd將記錄二個(gè)擁有相同或更高優(yōu)先級的消息。每行的行動(dòng)域指明當選擇域選擇了一個(gè)給定消息后應該把他發(fā)送到哪兒。
第一欄包含了何種情況與程度，中間用小數點(diǎn)分隔。詳細的設定方式如下:
auth 關(guān)于系統安全與使用者認證;
cron關(guān)于系統自動(dòng)排序執行(CronTable);
daemon 關(guān)于背景執行程序;
ken 關(guān)于系統核心;
Ipr 關(guān)于打印機;
mai1 關(guān)于電子郵件;
news 關(guān)于新聞?dòng)懻搮^;
syslog 關(guān)于系統記錄本身;
user 關(guān)于使用者;uucp關(guān)于UNIX互拷(UUCP)。
2、什么程度才記錄
如你要系統去記錄info等級的事件，則notice、err、warning、Crit、alert、emerg等在info等級以上的也會(huì )被一并記錄下來(lái)。把上面所寫(xiě)的`1、2項以小數點(diǎn)組合起來(lái)就是完整的"要記錄哪些東西"的寫(xiě)法。例如mail.info表示關(guān)于電子郵件傳送系統的一般性信息。 auth.emerg就是關(guān)于系統安全方面相當嚴重的信息。Ipr.none表示不要記錄關(guān)于打印機的信息(通常用在有多個(gè)紀錄條件時(shí)組合使用)。另外有三種特殊的符號可供應用：
星號(*):代表某一細項中所有項目。例如mail.*表示只要有關(guān)mail的，不管什么程度都要記錄下來(lái)。而*.info會(huì )把所有程度為infn的事件給記錄下來(lái)。 等號(=):表示只記錄目前這一等級，其上的等級不要記錄。例如上面的例子，平常寫(xiě)下info等級時(shí)，也會(huì )把位于info等級上面的 notice.err.warning、crit、alert、emerg等其他等級也記錄下來(lái)。但若你寫(xiě)=info則就只有記錄info這一等級了。 驚嘆號(!):表示不要記錄目前這一等級及其上的等級。
3、記錄存放的位置
sysloqd提供下列方法供您記錄系統發(fā)生的事件：
這是最普遍的方式。你可以指定好文件路徑與文件名稱(chēng)，但是必須以目錄符號"/"開(kāi)始，系統才會(huì )知道這是一個(gè)文件。例如/var/adm/maillog表示要記錄到/var/adm下面一個(gè)稱(chēng)為maillog的文件。如果之前沒(méi)有這個(gè)文件，系統會(huì )自動(dòng)產(chǎn)生一個(gè)。
指定的終端機或其他設備
你也可以將系統記錄寫(xiě)到一個(gè)終端機或是設備上。若將系統記錄寫(xiě)到終端機，則目前正在使用該終端機的使用者就會(huì )直接在屏幕上看到系統信息(例如 /dev /conso舊或是/dev/tty1，你可以拿一個(gè)屏幕專(zhuān)門(mén)來(lái)顯示系統信息)。若將系統記錄寫(xiě)到打印機(例如/dev/!p0)。，則你會(huì )有一長(cháng)條印滿(mǎn)系統記錄的紙，這樣網(wǎng)絡(luò )入侵者就不能修改日志來(lái)隱藏入侵痕跡。
指定的遠端主機
如果你不將系統信息記錄在本地機器上，你可以寫(xiě)下網(wǎng)絡(luò )中另一個(gè)主機的名稱(chēng)，然后在主機名稱(chēng)前面加上"@"符號(例如(@)ccunix1.variox.int，但被你指定的主機上必須要有sysloqd)。這可以防止由于硬盤(pán)錯誤等情況使日志文件丟失。
以上就是syslog各項記錄程度及記錄方式的寫(xiě)法，可以依照自己的需求記錄下自己所需要的內容。但是這些記錄都是一直追加上去的，除非將文件自行刪除掉，否則這些文件就會(huì )越來(lái)越大。Syslog設備是一個(gè)網(wǎng)絡(luò )攻擊者的顯著(zhù)目標，通過(guò)修改日志來(lái)隱藏入侵痕跡，因此我們要特別注意。最好養成每周(或更短的時(shí)間)定期檢查一次記錄文件的習慣，并將過(guò)期的記錄文件依照流水號或是日期備份，以后查閱時(shí)也比較容易。千萬(wàn)不要記錄下，這樣無(wú)論什么都被記錄下來(lái)，結果會(huì )導致文件太大，要找資料時(shí)根本無(wú)法馬上找出來(lái)。有人在記錄網(wǎng)絡(luò )日志時(shí)，連誰(shuí)去ping他的主機都要記錄，這樣不僅降低系統效率而且增加了磁盤(pán)用量。
手把手教你如何看路由器日志2
對于黑客來(lái)說(shuō)，利用路由器的漏洞發(fā)起攻擊通常是一件比較容易的事情。路由器攻擊會(huì )浪費CPU周期，誤導信息流量，使網(wǎng)絡(luò )陷于癱瘓。好的路由器本身會(huì )采取一個(gè)好的安全機制來(lái)保護自己，但是僅此一點(diǎn)是遠遠不夠的。保護路由器安全還需要網(wǎng)管員在配置和管理路由器過(guò)程中采取相應的安全措施。
堵住安全漏洞
限制系統物理訪(fǎng)問(wèn)是確保路由器安全的最有效方法之一。限制系統物理訪(fǎng)問(wèn)的一種方法就是將控制臺和終端會(huì )話(huà)配置成在較短閑置時(shí)間后自動(dòng)退出系統。避免將調制解調器連接至路由器的輔助端口也很重要。一旦限制了路由器的物理訪(fǎng)問(wèn)，用戶(hù)一定要確保路由器的安全補丁是最新的。漏洞常常是在供應商發(fā)行補丁之前被披露，這就使得黑客搶在供應商發(fā)行補丁之前利用受影響的系統，這需要引起用戶(hù)的關(guān)注。
避免身份危機
黑客常常利用弱口令或默認口令進(jìn)行攻擊。加長(cháng)口令、選用30到60天的口令有效期等措施有助于防止這類(lèi)漏洞。另外，一旦重要的IT員工辭職，用戶(hù)應該立即更換口令。用戶(hù)應該啟用路由器上的口令加密功能，這樣即使黑客能夠瀏覽系統的配置文件，他仍然需要破譯密文口令。實(shí)施合理的驗證控制以便路由器安全地傳輸證書(shū)。在大多數路由器上，用戶(hù)可以配置一些協(xié)議，如遠程驗證撥入用戶(hù)服務(wù)，這樣就能使用這些協(xié)議結合驗證服務(wù)器提供經(jīng)過(guò)加密、驗證的路由器訪(fǎng)問(wèn)。驗證控制可以將用戶(hù)的驗證請求轉發(fā)給通常在后端網(wǎng)絡(luò )上的`驗證服務(wù)器。驗證服務(wù)器還可以要求用戶(hù)使用雙因素驗證，以此加強驗證系統。雙因素的前者是軟件或硬件的令牌生成部分，后者則是用戶(hù)身份和令牌通行碼。其他驗證解決方案涉及在安全外殼(SSH)或IPSec內傳送安全證書(shū)。
禁用不必要服務(wù)
擁有眾多路由服務(wù)是件好事，但近來(lái)許多安全事件都凸顯了禁用不需要本地服務(wù)的重要性。需要注意的是，禁用路由器上的CDP可能會(huì )影響路由器的性能。另一個(gè)需要用戶(hù)考慮的因素是定時(shí)。定時(shí)對有效操作網(wǎng)絡(luò )是必不可少的。即使用戶(hù)確保了部署期間時(shí)間同步，經(jīng)過(guò)一段時(shí)間后，時(shí)鐘仍有可能逐漸失去同步。用戶(hù)可以利用名為網(wǎng)絡(luò )時(shí)間協(xié)議(NTP)的服務(wù)，對照有效準確的時(shí)間源以確保網(wǎng)絡(luò )上的設備時(shí)針同步。不過(guò)，確保網(wǎng)絡(luò )設備時(shí)鐘同步的最佳方式不是通過(guò)路由器，而是在防火墻保護的非軍事區(DMZ)的網(wǎng)絡(luò )區段放一臺NTP服務(wù)器，將該服務(wù)器配置成僅允許向外面的可信公共時(shí)間源提出時(shí)間請求。在路由器上，用戶(hù)很少需要運行其他服務(wù)，如SNMP和DHCP。只有絕對必要的時(shí)候才使用這些服務(wù)。
限制邏輯訪(fǎng)問(wèn)
限制邏輯訪(fǎng)問(wèn)主要是借助于合理處置訪(fǎng)問(wèn)控制列表。限制遠程終端會(huì )話(huà)有助于防止黑客獲得系統邏輯訪(fǎng)問(wèn)。SSH是優(yōu)先的邏輯訪(fǎng)問(wèn)方法，但如果無(wú)法避免Telnet，不妨使用終端訪(fǎng)問(wèn)控制，以限制只能訪(fǎng)問(wèn)可信主機。因此，用戶(hù)需要給Telnet在路由器上使用的虛擬終端端口添加一份訪(fǎng)問(wèn)列表。
控制消息協(xié)議(ICMP)有助于排除故障，但也為攻擊者提供了用來(lái)瀏覽網(wǎng)絡(luò )設備、確定本地時(shí)間戳和網(wǎng)絡(luò )掩碼以及對OS修正版本作出推測的信息。為了防止黑客搜集上述信息，只允許以下類(lèi)型的ICMP流量進(jìn)入用戶(hù)網(wǎng)絡(luò )：ICMP網(wǎng)無(wú)法到達的、主機無(wú)法到達的、端口無(wú)法到達的、包太大的、源抑制的以及超出生存時(shí)間(TTL)的。此外，邏輯訪(fǎng)問(wèn)控制還應禁止ICMP流量以外的所有流量。
使用入站訪(fǎng)問(wèn)控制將特定服務(wù)引導至對應的服務(wù)器。例如，只允許SMTP流量進(jìn)入郵件服務(wù)器;DNS流量進(jìn)入DSN服務(wù)器;通過(guò)安全套接協(xié)議層(SSL)的HTTP(HTTP/S)流量進(jìn)入Web服務(wù)器。為了避免路由器成為DoS攻擊目標，用戶(hù)應該拒絕以下流量進(jìn)入：沒(méi)有IP地址的包、采用本地主機地址、廣播地址、多播地址以及任何假冒的內部地址的包。雖然用戶(hù)無(wú)法杜絕DoS攻擊，但用戶(hù)可以限制DoS的危害。用戶(hù)可以采取增加SYN ACK隊列長(cháng)度、縮短ACK超時(shí)等措施來(lái)保護路由器免受TCP SYN攻擊。
用戶(hù)還可以利用出站訪(fǎng)問(wèn)控制限制來(lái)自網(wǎng)絡(luò )內部的流量。這種控制可以防止內部主機發(fā)送ICMP流量，只允許有效的源地址包離開(kāi)網(wǎng)絡(luò )。這有助于防止IP地址欺騙，減小黑客利用用戶(hù)系統攻擊另一站點(diǎn)的可能性。
監控配置更改
用戶(hù)在對路由器配置進(jìn)行改動(dòng)之后，需要對其進(jìn)行監控。如果用戶(hù)使用SNMP，那么一定要選擇功能強大的共用字符串，最好是使用提供消息加密功能的SNMP。如果不通過(guò)SNMP管理對設備進(jìn)行遠程配置，用戶(hù)最好將SNMP設備配置成只讀。拒絕對這些設備進(jìn)行寫(xiě)訪(fǎng)問(wèn)，用戶(hù)就能防止黑客改動(dòng)或關(guān)閉接口。此外，用戶(hù)還需將系統日志消息從路由器發(fā)送至指定服務(wù)器。
為進(jìn)一步確保安全管理，用戶(hù)可以使用SSH等加密機制，利用SSH與路由器建立加密的遠程會(huì )話(huà)。為了加強保護，用戶(hù)還應該限制SSH會(huì )話(huà)協(xié)商，只允許會(huì )話(huà)用于同用戶(hù)經(jīng)常使用的幾個(gè)可信系統進(jìn)行通信。
配置管理的一個(gè)重要部分就是確保網(wǎng)絡(luò )使用合理的路由協(xié)議。避免使用路由信息協(xié)議(RIP)，RIP很容易被欺騙而接受不合法的路由更新。用戶(hù)可以配置邊界網(wǎng)關(guān)協(xié)議(BGP)和開(kāi)放最短路徑優(yōu)先協(xié)議(OSPF)等協(xié)議，以便在接受路由更新之前，通過(guò)發(fā)送口令的MD5散列，使用口令驗證對方。以上措施有助于確保系統接受的任何路由更新都是正確的。
實(shí)施配置管理
用戶(hù)應該實(shí)施控制存放、檢索及更新路由器配置的配置管理策略，并將配置備份文檔妥善保存在安全服務(wù)器上，以防新配置遇到問(wèn)題時(shí)用戶(hù)需要更換、重裝或回復到原先的配置。
用戶(hù)可以通過(guò)兩種方法將配置文檔存放在支持命令行接口(CLI)的路由器平臺上。一種方法是運行腳本，腳本能夠在配置服務(wù)器到路由器之間建立SSH會(huì )話(huà)、登錄系統、關(guān)閉控制器日志功能、顯示配置、保存配置到本地文件以及退出系統;另外一種方法是在配置服務(wù)器到路由器之間建立IPSec隧道，通過(guò)該安全隧道內的TFTP將配置文件拷貝到服務(wù)器。用戶(hù)還應該明確哪些人員可以更改路由器配置、何時(shí)進(jìn)行更改以及如何進(jìn)行更改。在進(jìn)行任何更改之前，制訂詳細的逆序操作規程。
【手把手教你如何看路由器日志】相關(guān)文章：
手把手教你如何排查硬件故障原因10-19
教你怎么找到路由器的IP地址06-27
教你如何化妝07-28
教你如何唱歌07-22
如何重置路由器密碼05-10
如何給路由器設置密碼10-20
如何設置Linksys路由器11-21
教你如何基金銷(xiāo)售09-08
教你如何走臺步08-17