38、系统安全与网络监控：检测异常与使用SNMP

系统安全与网络监控：检测异常与使用SNMP

1. 系统安全的潜在威胁与应对

1.1 核心组件被篡改的风险

在系统安全领域，我们不得不考虑一些极端情况。例如，若有人篡改系统中的MD5模块，甚至是Perl可执行文件、其共享库或者操作系统核心本身，该如何应对？通常的解决办法是将与该进程相关的所有已知良好副本（如摘要数据库、模块、静态链接的Perl等）存放在只读介质上。这一难题体现了安全的连续性，我们总能发现更多需要担忧的问题。

1.2 发现可疑活动

1.2.1 本地危险信号

要善于发现可疑活动，这往往需要经历一些痛苦的安全漏洞事件后才能逐渐掌握。每次安全漏洞发生后，进行事件复盘至关重要。详细记录入侵者的来源、使用的工具或漏洞、他们的行为、攻击的其他目标以及我们的应对措施等。

一些不太老练的入侵者常通过创建“隐藏”目录来隐藏活动。在Unix和Linux系统中，他们会将攻击代码和嗅探输出存放在类似“…”（点点点）、“. ”（点空格）或“ Mail”（空格Mail）这样的目录中，这些名称在简单的 ls 输出检查中容易被忽略。

我们可以使用Perl编写程序来搜索这些异常目录名，示例代码如下：

require "find.pl";
# Traverse desired filesystems
&find('.');
sub wanted {
   (-d $_) and                           # is a directory
     $_ ne "." and $_ ne "..