当前位置：文档之家 › 从防火墙日志解析网络安全(1)

从防火墙日志解析网络安全(1)

  • 格式：doc
  • 大小：196.50 KB
  • 文档页数：4

从防火墙日志解析网络安全
现在人为了使自己的网络更加安全，都安装了各种网络防火墙软件。

大部分防火墙软件都拥有日志功能，我们可以通过从日志中拦截下来的数据包日志来了解自己受到了什么样的攻击。

我们以天网防火墙为列。

图1
如图1。

一般日志记录都会有很多重复的内容，为方便叙述，我们举列出日志记录，如
图2
图2。

我们可以看到，每条日志记录都是由三行组成：
第一行记录代表数据包的发送/接受时间、发送者IP地址、对方通信端口、数据包类型、本机通讯端口等情况。

第二行为TCP数据包的标志位，共有六位标志位，分别是：URG、ACK、PSH、RST、SYN、FIN，天网在显示标志位时取这六个标志位的第一个字母即A代表ASK、S代表SYN等，其中标志位ACK、SYN和FIN比较常用，简单含义如下：
●ACK：确认标志
提示远端系统已经成功接收所有数据
●SYN：同步标志
该标志仅在建立TCP连接时有效，它提示TCP连接的服务端检查序列编号
●FIN：结束标志
带有该标志位的数据包用来结束一个TCP会话，但对应端口仍处于开放状态，请准备接受后续数据。

●RST：复位标志，具体作用未知
第三行对数据包的处理方法。

对于不符合规则的数据包会被拦截或拒绝，对符合规则但被设置为监视的数据包会显示为“继续下一规则”。

下面我们列举几种记录进行分析。

1 [11：30：46] 282.121.8.171 尝试用ping 来探测本机，
TCP标识：S
该操作被拒绝。

该记录显示了在11：30：46时，从地址282.121.8.171向你的电脑发出ping命令来探测主机信息，但被拒绝了。

人们用ping命令可以来确定一个合法的ip是否存在，当别人用ping命令来探测你的电脑时，如果你的电脑里安装了TCP/IP协议，就会返回一个回应ICMP 包，如果你在防火墙规则中设置了“防止别人用ping命令探测主机”，如图3。

你的电脑则不会返回给对方这种ICMP包，这样别人就无法用ping命令探测你的电脑了。

如果在日志中
图3
从该地址发来的ping命令只有一条，这倒没什么值得注意的，如果连接不断的显示有很多来自同一个IP地址的记录，这时你就要注意了，很可能有人在利用黑客工具探测你的主机信息，如果一个不怀好意的人探测出你的IP之后，可能就不是一件好事了。

2 [11：30：46] 282.121.8.171 试图连接本机的 HTTP[80]端口，
TCP标识：S
该操作被拒绝。

众所周知，本纪的 HTTP[80]端口是 HTTP协议的端口，主要进行HTPP协议数据的交换，比如网页的浏览，或者提供WEB服务。

对于服务器来说，该记录表示有人通过这个端口进入服务器访问网页。

对于个人电脑来说一般是没有提供这项服务的，如果在日志中连续出现了大量的类似记录，而且来源IP和端口号都是不定的，但TCP标识都为S（即连接请求）的话，你可能是受到了SYN洪水攻击。

出现这种日志记录时，还有一种情况就是服务器受到了“红色代码”病毒的攻击。

“红色代码”病毒是利用“缓冲区溢出”的漏洞入侵安装了ISS的服务器，并对它进行控制和破坏的。

它的传染机制就是利用所控制的服务器进行网络探测，一旦发现有提供80端口WEB 的服务器，就尝试利用“缓冲区溢出”的漏洞进行传染。

正因为如此，当有很多台服务器都被传染了“红色代码”病毒之后，它们就会不停的对周边主机发出TCP的SYN数据包。

这种情况就会越严重。

一大堆服务器发出的SYN包可以等同于对网络进行着Dos攻击，这种情况也是很严重的。

3 [11：30：46] 282.121.8.171 试图连接本机的木马冰河[7626]端口，
TCP标识：S
该操作被拒绝。

这是一个很危险的记录，说明有人正试图通过网络来连接你电脑中的冰河木马端口。

通常，黑客们在试图通过木马连接到你的电脑之钱，会首先确定你的电脑中是不是已经打开了该木马程序所需要的端口，也就是看看你的电脑是不是已经安装了木马的服务器端程序。

在没有防火墙的情况下，木马服务器程序会响应连续，黑客就可以通过服务器端程序对你进行控制。

但现在这个操作被拒绝后，即使你的系统已经中了冰河木马，也不会对这个连接请示产生回应，这样黑棵就会认为你的电脑没有中木马。

一般来说对于常见的木马端口，天网会提示出相应的木马名称，但是对于不常见的木马端口，天网只会给出连接的端口号，而不会给出木马提示，如第4条记录中的情形。

也有一些防火墙对于常见的端口也不会给出对应的木马名称，这时你可以根据经验或者资料来分析该端口是和哪个木马程序相关联的，从而判断出对方的连接企图。

如果你的日志中经常显示有来自某个IP地址的木马端口扫描，你可以自行天家规则拒绝来自该地址的任何连接，如图4。

图4
5 [11：30：46] 接受到282.121.8.171 的IGMP数据包，
该包被拦截。

这是防火墙日志中最常见的一种记录，也是最常见的一中网络攻击方式。

IGMP（Internet Group Management Protocol）是用于组播的一种协议，实际上对于windows的用户是没有什么用途的，但由于windows中存在有IGMP漏洞，当向安装有windows 9x操作系统的机器发送长度和数量都叫大的IGMP数据包时，会导致系统TCP/IP栈崩溃，系统表现为蓝屏或者死机。

这就是所谓的IGMP攻击。

一般形成IGMP攻击时，会在日志中显示为大量来自于同一IP地址的IGMP数据包。

6 [11：30：46] 282.121.8.171的1294端口停止对本机发送数据，
TCP标识：F A
继续下一规则。

7 [11：30：46] 本机应答282.121.8.171的1294端口，
TCP标识：A
继续下一规则。

从这条记录上来看，发送数据的是一台局域网内部的电脑，而且本机也已经做出了应答，因此说这个数据传输的是符合规则的。

这个合法的数据传输之所以会被记录在日志里，是因为用户在防火墙的规则设置中设置了“TCP数据包监视”，如图5。

这样每个通过TCP传输的数据包都会被记录下来了。

因此，大家不要一看到日志里有新记录就认为有人在攻击你，有些是正常的数据包，可能会因为你设置了数据包监视规则而被防火墙记录下来的。

图5
防火墙的日志内容还有很多种，这里仅介绍以上几种，如果在查看日志过程中发现一些不正常的连接，又不清楚其具体含义，最好与销售商咨询清楚，这样有利于你更好的对防火墙的规则进行设置，使上网更安全。

合集下载

如何设置网络防火墙的安全日志记录与分析？(六)

如何设置网络防火墙的安全日志记录与分析？(六)

网络防火墙的安全日志记录与分析在当今互联网时代，网络安全问题日益突出，防火墙作为网络安全的第一道防线，起到了至关重要的作用。

然而，仅仅有一个防火墙还远远不够，我们还需要对防火墙进行安全日志记录与分析，从而及时发现和解决潜在的安全隐患。

本文将探讨如何设置网络防火墙的安全日志记录与分析，以提升网络安全水平。

1. 为何需要安全日志记录与分析网络防火墙作为保护网络免受攻击的关键设备，它可以监控入侵行为、拦截恶意流量、控制访问权限等。

然而，单纯依靠防火墙本身的设置是远远不够的。

因为，防火墙无法阻止所有的攻击，而且攻击者的策略和手段也在不断演进。

因此，需要通过安全日志记录与分析来对网络进行全面监控，及时发现异常行为，并采取相应的措施来应对。

2. 安全日志记录与分析的基本原则在设置网络防火墙的安全日志记录与分析时，需要遵循以下几个基本原则。

首先，确定需要记录的日志内容。

根据网络的特点和需求，选择需要记录的日志内容，例如源IP地址、目的IP地址、协议类型、源端口、目的端口、时间戳等关键信息。

其次，确定日志记录的级别和优先级。

根据网络的安全等级和实际情况，设置不同级别的日志记录，并确定不同级别的优先级，以便及时发现和解决安全问题。

再次，建立日志记录与分析的工作流程。

明确安全日志记录与分析的工作流程，包括日志的收集、存储、处理和分析等环节，并确保有专人负责日志的监控和处理工作。

最后，建立日志保留和备份机制。

根据法律法规和业务需求，设定合理的日志保留期限，并建立定期备份和归档的机制，以便对历史日志进行检索和分析。

3. 安全日志记录与分析的具体实施在进行网络防火墙的安全日志记录与分析时，需要考虑以下几个方面。

首先，选择合适的日志记录工具。

根据网络规模和需求，选择适合的日志记录工具，例如SIEM（安全信息与事件管理）系统、ELK （Elasticsearch、Logstash、Kibana）等。

这些工具可以提供强大的日志收集、存储和处理功能，以及直观的分析和可视化界面。

网络防火墙的日志分析与监控技巧(九)

网络防火墙的日志分析与监控技巧(九)

网络防火墙的日志分析与监控技巧引言：在当今数字化时代，网络安全问题备受关注。

防火墙作为网络安全的重要一环，负责监控和控制网络通信，起到保护网络免受攻击的作用。

网络防火墙的日志分析与监控技巧是有效防范网络威胁的重要手段。

本文将从日志分析和监控两个方面进行探讨，帮助读者更好地理解和应用这些技巧。

一、日志分析技巧日志是防火墙保留的记录网络通信和事件的文件，通过对日志进行分析，可以发现潜在的网络威胁，并及时采取措施应对。

以下是一些常用的日志分析技巧：1. 实时监测通过设置实时监控工具，可以使管理员随时了解网络活动情况。

实时监测可以帮助管理员及时发现异常行为，如大量发送请求或传输数据的设备等，从而迅速应对潜在的网络攻击。

2. 关键信息提取防火墙日志中记录了大量的信息，但并非所有信息都具有同等重要性。

进行关键信息的提取和分析，可以更加高效地检测和防范网络威胁。

例如，提取源IP、目的IP和端口号等信息，结合威胁情报，可以识别潜在的攻击者。

3. 建立规则和正则表达式建立规则和正则表达式可以方便地过滤和匹配日志中的特定事件或关键字。

管理员可以根据自己的需求，编写合适的规则和正则表达式，以便更加准确地检测和防范网络威胁。

4. 数据可视化将日志数据进行可视化处理，可以更加直观地展示网络活动情况和威胁趋势。

通过图表和统计数据，管理员可以更清楚地了解网络流量、攻击趋势等信息，从而优化网络安全策略。

二、监控技巧除了日志分析外，监控也是网络防火墙中不可忽视的一环。

通过监控网络流量和设备性能，管理员可以及时发现和处理异常情况，保障网络的安全和稳定。

以下是一些常用的监控技巧：1. 流量监控通过监控网络流量，管理员可以了解当前网络的使用情况和性能状况。

对于突发的大流量或异常的数据传输，管理员可以及时发现并采取相应的措施，防止网络资源浪费和信息泄露。

2. 性能监控监控防火墙设备的性能指标，如CPU使用率、内存利用率等，可以及时了解设备的健康状态。

网络安全,防火墙(1)

网络安全,防火墙(1)

进入屏蔽路由器的流量不会被转 发到堡垒主机上，可能被转发到 另一主机上，外部主机直接访问 了内部主机，绕过了防火墙
过滤路由器成为唯一一道防线， 入侵者很容易突破屏蔽路由器， 内部网络不再安全
网络安全,防火墙(1)
屏蔽子网防火墙
本质上同屏蔽主机防火墙一样，但增加了一层保 护体系——周边网络(DMZ)。堡垒主机位于周边网 络上，周边网络和内部网络被内部屏蔽路由器分 开
网络安全,防火墙(1)
屏蔽主机防火墙
对于入站连接，根据安全策略，屏蔽路由器可以：
允许某种服务的数据包先到达堡垒主机，然后与内部 主机连接 直接禁止某种服务的数据包入站连接
对于出站连接，根据安全策略：
对于一些服务(Telnet)，可以允许它直接通过屏蔽路由 器连接到外部网络，而不通过堡垒主机 其它服务(WWW和SMTP等)，必须经过堡垒主机才能连 接到Internet，并在堡垒主机上运行该服务的代理服务 器
宿主机完全切断
上图：网络层路由功能未被禁止，数据包绕过防 火墙
网络安全,防火墙(1)
双宿/多宿主机防火墙
两个网络之间的通信 方式：
应用层数据共享，用户 直接登录
应用层代理服务，在双
宿主机上运行代理服务 器
网络安全,防火墙(1)
双宿/多宿主机防火墙
用户直接登录的不足
支持用户账号会降低机器本身的稳定性和可靠 性
网络安全,防火墙(1)
包过滤型防火墙
包过滤型防火墙，往往可以用一台过滤路由器 (Screened Router)来实现，对所接收的每个数据包 做允许/拒绝的决定
包过滤型防火墙一般作用在网络层，故也称网络 层防火墙或IP过滤器
网络安全,防火墙(1)
包过滤型防火墙
网络防火墙的日志分析与监控技巧(一)

网络防火墙的日志分析与监控技巧(一)

网络防火墙的日志分析与监控技巧现如今，随着互联网的普及和发展，网络安全已经成为了一个不可忽视的问题。

而网络防火墙作为维护网络安全的重要手段之一，日志分析与监控技巧显得尤为重要。

本文将从网络防火墙日志的重要性、日志分析的目的和方法以及监控技巧等方面进行探讨，以帮助读者更好地理解和运用网络防火墙的日志。

首先，网络防火墙的日志对于网络安全的保障至关重要。

日志记录了防火墙的种种动作，如允许或拒绝的连接、错误或警告信息等。

通过对这些日志信息的分析，管理员可以了解当前网络环境是否存在异常行为，是否有未授权的访问等，从而及时采取相应的措施。

防火墙日志可以被视为重要的安全审计工具，因为它可以帮助我们查明网络攻击者的行为，尽早发现问题并采取应对措施。

其次，了解日志分析的目的和方法对于管理员非常关键。

在进行日志分析时，我们需要明确自己的目的，是为了寻找潜在漏洞、发现异常行为还是追踪攻击者的行踪。

根据不同的目的，我们可以采用不同的分析方法。

比如，如果我们希望发现异常行为，可以关注与其相关的日志事件，比如登录失败尝试、频繁的端口扫描请求等。

如果我们想了解攻击者的行为轨迹，可以分析与攻击相关的日志事件，如网络连接请求、远程访问等。

而要进行日志分析，我们需要掌握一定的技巧。

首先，我们需要对防火墙日志的格式和内容有所了解。

不同厂商或不同型号的防火墙所产生的日志格式可能会有所差异，我们应该熟悉所使用的防火墙的日志格式，以便更好地进行分析。

其次，我们还需要了解一些常见的日志事件和异常行为的特征。

对于一些常见的攻击手法和漏洞利用，我们需要知晓它们的日志特征，以便从海量的日志中筛选出关键信息。

此外，在进行日志分析时，我们可以借助一些辅助工具或开源软件，如ELK（Elasticsearch、Logstash、Kibana）等，它们可以帮助我们更高效地分析和可视化日志数据。

除了日志分析，网络防火墙的监控技巧也是不可忽视的。

通过合理的监控措施，管理员可以及时发现并应对潜在的安全威胁。