黑客入侵代码证据_黑客入侵代码证据是什么
文字简介：
怎样收集黑客入侵证据,以及怎样申报.高分!!
保持系统原状，收集路由日志，系统日志，切莫清理系统，关机后别再打开，交给警察叔叔
简述入侵检测常用的四种 ***
入侵检测系统所采用的技术可分为特征检测与异常检测两种。
1、特征检测
特征检测(Signature-based detection) 又称Misuse detection ，这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。
它可以将已有的入侵 *** 检查出来，但对新的入侵 *** 无能为力。其难点在于如何设计模式既能够表达“入侵”现象又不会将正常的活动包含进来。
2、异常检测
异常检测(Anomaly detection) 的假设是入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。
异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
扩展资料
入侵分类：
1、基于主机
一般主要使用操作系统的审计、跟踪日志作为数据源，某些也会主动与主机系统进行交互以获得不存在于系统日志中的信息以检测入侵。
这种类型的检测系统不需要额外的硬件．对 *** 流量不敏感，效率高，能准确定位入侵并及时进行反应，但是占用主机资源，依赖于主机的可靠性，所能检测的攻击类型受限。不能检测 *** 攻击。
2、基于 ***
通过被动地监听 *** 上传输的原始流量，对获取的 *** 数据进行处理，从中提取有用的信息，再通过与已知攻击特征相匹配或与正常 *** 行为原型相比较来识别攻击事件。
此类检测系统不依赖操作系统作为检测资源，可应用于不同的操作系统平台；配置简单，不需要任何特殊的审计和登录机制；可检测协议攻击、特定环境的攻击等多种攻击。
但它只能监视经过本网段的活动，无法得到主机系统的实时状态，精确度较差。大部分入侵检测工具都是基于 *** 的入侵检测系统。
3、分布式
这种入侵检测系统一般为分布式结构，由多个部件组成，在关键主机上采用主机入侵检测，在 *** 关键节点上采用 *** 入侵检测，同时分析来自主机系统的审计日志和来自 *** 的数据流，判断被保护系统是否受到攻击。
参考资料来源：百度百科-入侵检测
查找linux入侵证据的简单几个小技巧
要查找linux系统入侵证据，可从如下几个方面入手：
1.last，lastlog命令可查看最近登录的帐户及时间
2./var/log/secure , /var/log/messages日志信息可以通过accept关键字查看系统是否有被可疑IP地址登录成功信息。
3.用户任务计划，文件/var/spool/cron/tabs/用户，某些黑客会将后门程序，病毒设置为计划任务，定时执行
4.几个经常被放置木马，病毒的目录，/tmp, /var/tmp, /dev/shm由于这些目录都设置了SBIT，即所有用户都可读，可写，可执行。并且在访问这些目录的同时拥有root权限，所以即使黑客没有拿到root权限，在这些目录上传病毒，木马是非常方便的
5.通过时间来查找，find / -ctime n n为指定的时间，可通过上述找到的信息，综合判断，然后选取时间点，查找在那个时间点创建的文件。比如2天前的24小时内，就可用find / -ctime 2 /tmp/file.log (如果不想刷屏，可重定向到文件）
6.各类服务日志，比如apache日志:
$APACHE_HOME/logs/access_log ,$APACHE_HOME/logs/error_log
上一篇：黑客工具包大型_黑客工具集
