如何追蹤系統入侵者

在局域網絡上可能你聽過所謂“廣播模式”的資料發送方法，此種方法不指定收信站，只要和此網絡連結的所有網絡設備皆為收信對象。但是這僅僅在局域網絡上能夠實行，因為局域網絡上的機器不多(和Internet比起來)。如果象是Internet上有數千萬的億恩科技主機,本就不可能實施資料廣播(至于IPMulticast算是一種限定式廣播RestrictedBroadcast,唯有被指定的機器會收到,Internet上其他電腦還是不會收到)。假設Internet上可以實施非限定廣播，那隨便一個人發出廣播訊息，全世界的電腦皆受其影響，豈不世界大亂？因此,任何局域網絡內的路由器或是類似網絡設備都不會將自己區域網絡內的廣播訊息轉送出去。萬一在WANPort收到廣播訊息，也不會轉進自己的LANPort中。

而既然網絡皆有發信站與收信站，用以標示信息發送者與信息接收者，除非對方使用一些特殊的封包封裝方式或是使用防火墻對外連線，那么只要有人和你的億恩科技主機進行通訊(寄信或是telnet、ftp過來都算)你就應該會知道對方的位址，如果對方用了防火墻來和你通訊，你最少也能夠知道防火墻的位置。也正因為只要有人和你連線，你就能知道對方的位址，那么要不要知道對方位置只是要做不做的問題而已。如果對方是透過一臺UNIX億恩科技主機和你連線，則你更可以透過ident查到是誰和你連線的。

在實行TCP/IP通訊協定的電腦上,通常可以用netstat指令來看到目前連線的狀況。

(各位朋友可以在win95、Novell以及UNIX試試看(注一)，在下面的連線狀況中，netstat指令是在win95上實行的，可以看到目前自己機器(LocalAddress處)的telnetport有一臺億恩科技主機workstation.variox.int由遠端(ForeignAddress處)連線進來并且配到1029號tcpport.而ccunix1億恩科技主機也以ftpport連到workstation.variox.int去。所有的連線狀況看得一清二楚。(如A、B)

A.在UNIX億恩科技主機(ccunix1.variox.int)看netstat

B.另一端在Windows95(workstation.variox.int)看netstat,雖然是不同的作業系統，但netstat是不是長得很像呢？

通信過程的紀錄設定

當然，如果你想要把網絡連線紀錄給記錄下來，你可以用crontable定時去跑：

netstat＞＞filename

但是UNIX系統早已考慮到這一個需求，因此在系統中有一個專職記錄系統事件的

Daemon:syslogd，應該有很多朋友都知道在UNIX系統的/var/adm下面有兩個系統紀錄檔案：

syslog與messages，一個是一般系統的紀錄，一個是核心的紀錄。但是這兩個檔案是從哪邊來的，又要如何設定呢？

系統的紀錄基本上都是由syslogd(SystemKernelLogDaemon)來產生，而syslogd的控制是由/etc/syslog.conf來做的。syslog.conf以兩個欄位來決定要記錄哪些東西，以及記錄到哪邊去。下面是一個Linux系統所附上的yslog.conf檔案，這也是一個最標準的syslog.conf寫法：

格式就是這樣子，第一欄寫「在什么情況下」以及「什么程度」。然后用TAB鍵跳下一欄繼續寫「符合條件以后要做什么」。這個syslog.conf檔案的作者很誠實，告訴你只能用TAB來作各欄位之間的分隔(雖然看來好像他也不知道為什么)。第一欄包含了何種情況與程度，中間小數點分隔。另外，星號就代表了某一細項中的所有選項。詳細的設定方式如下：

1、在什么情況：各種不同的情況以下面的字串來決定。

auth關于系統安全（服務器租用找：51033397）與使用者認證方面

cron關于系統自動排程執行(CronTable)方面

daemon關于背景執行程式方面

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]