17、网络犯罪检测技术：从日志审计到入侵检测

网络犯罪检测技术：从日志审计到入侵检测

在当今数字化时代，网络安全至关重要。为了有效检测网络犯罪，我们需要了解各种日志审计和入侵检测技术。下面将详细介绍UNIX和Linux平台的日志审计、防火墙日志及相关功能，以及商业入侵检测系统的特点。

UNIX和Linux平台的日志审计

不同版本的UNIX和Linux系统以各自独特的方式记录关键审计信息，并将日志文件存储在特定位置，采用依赖平台的格式。不过，大多数UNIX和Linux操作系统都支持广泛的日志记录功能，且有许多共同特征。

Syslog守护进程（syslogd）是UNIX和Linux系统中所有日志信息的处理中心。它会根据消息类型、紧急程度和严重程度，将不同的系统消息分流到不同的日志文件中。例如，在FreeBSD系统中，FTP登录成功和失败信息记录在ftp.log文件中，Apache网站访问信息存储在access_log中，失败登录信息则保存在secure.log里。

多数包含UNIX或Linux系统的网络会设置特殊的网络驱动器来记录日志数据，以便将所有数据集中存储。此外，Syslog守护进程接收来自各种操作系统和用户应用程序的事件数据，并使用单一的标准化格式存储所有日志数据，方便解释和分析。而Windows系统的日志格式缺乏一致性，事件查看器和其他应用程序及服务使用不同的格式。

Syslog还会根据预定义的方案对事件或错误消息进行优先级排序，具体如下表所示：
| Priority | Description |
| — | — |
| Emerg | 向所有用户广播的紧急情况 |
| Alert | 需要立即干预的情况 |
| Crit |