87、计算机安全日志管理与入侵处理全攻略

计算机安全日志管理与入侵处理全攻略

1. 日志记录的重要性与类型

在保障计算机系统安全的过程中，日志记录起着至关重要的作用。它就像系统的“黑匣子”，记录着系统运行过程中的各种信息，能帮助我们了解系统的过去，预防未来可能出现的问题。日志主要分为手写日志和每台机器的日志。

1.1 手写日志

手写日志包含了一系列重要信息，这些信息对于系统的管理和安全审计具有重要价值：
- 系统中安装的所有软件的采购订单、收据和许可证副本。这些文件在面临软件和信息产业协会（前软件出版商协会）审计时非常关键。
- 场所内所有重要设备的序列号。
- 每台机器的所有 MAC 级地址（如以太网地址）以及对应的 IP（或其他协议）号码。
- 向供应商提交正式错误报告的时间和情况。
- 连接到计算机用于拨号进出的电话号码。
- 任何与单台机器无关的路由器、防火墙或其他网络设备配置的纸质副本。

1.2 每台机器的日志

每台机器都应该有相关的日志记录，这些日志信息可以分为异常和活动报告以及信息材料两部分。

异常和活动报告
异常和活动报告记录了系统运行过程中的各种异常情况和重要活动：
- 任何系统停机或崩溃的时间和日期，包括系统恢复的特殊措施信息。
- 任何停机的时间、日期和目的。
- 与任何异常事件相关的数据，如异常的网络行为或磁盘无故满溢。
- 任何账户创建、禁用或删除的时间和 UID，包括账户所有者、用户名和操作原因。
- 用户更改密码的实例。
- 备份和恢复的时间和级别，以及每个备