68、网络安全攻防：从策略到实战

网络安全攻防：从策略到实战

1. 日志服务与文件系统审计

1.1 日志服务进程监控

为确保日志服务的正常运行，可利用本地或第三方进程监控工具，对日志进程及其相关的进程和服务依赖进行监控。这些工具不仅能在服务出现故障时及时重启服务，还能对服务故障进行报告。同时，借助操作系统的性能监控工具，对 CPU、内存和磁盘空间的使用情况进行监控，以此保护日志服务和日志文件的完整性。

1.2 定期文件系统审计

定期开展文件系统审计工作，有助于监测隐藏文件以及其他文件系统被篡改的迹象。审计方式既可以手动进行，也能使用如二进制编辑器、缓存发现工具、文件系统完整性检查器等多种取证工具。以下是这些工具的详细介绍：
| 工具 | 描述 |
| — | — |
| 二进制编辑器 | 可用于检查程序文件或其他二进制数据，查找特洛伊应用程序或操作系统、应用程序被篡改的证据，包括磁盘编辑器、文件编辑器和取证工具包 |
| 缓存发现工具 | 用于检查各种缓存设施，查找可能存在的违规数据，例如 cookie 解析器和查询 NetBIOS 缓存数据的工具 |
| 文件系统完整性检查器 | 具体可参考相关资料 |
| 文件系统工具和文件查看器 | 文件搜索工具可在系统文件系统中查询特定的文本字符串或内容，包括目录、文件、回收站和 .pst 文件；分区查看器可查看分区表；反删除工具可查看交换文件和未分配的磁盘空间 |
| 取证软件 | 取证软件工具包具备文件和文件系统调查、系统内存查询、文本或字符串搜索、驱动器成像等多种功能 |
| 注册表扫描工具 | 可使用本地工具（如 regedit 和 regedt32）或专业