F5-BIG-IP系统时间变更的审核-V100702
- 格式：doc
- 大小：278.00 KB
- 文档页数：7
BIG-IP系统时间变更审核
（v 100702）
版本说明
目录
版本说明 (2)
1 问题描述 (4)
2 关于修改系统时区审计 (4)
3 关于date修改系统时间审计 (6)
4 关于NTP时钟自动校验审计 (7)
1 问题描述
在黑客或者其他人员实施攻击或者误操作之后，攻击者可能会修改系统时间来屏蔽关于非法操作的logs 记录。
因此，一旦你怀疑遭到非法入侵，可以通过审计系统时间段变更来做进一步的分析。
三种途径可以使系统时间发生变更,并被记录：
·修改系统时区
·date命令修改系统时间
·NTP时钟的自动校验
2 关于修改系统时区审计
为了进行修改系统时区的审计，必须首先启用MCP 审计记录功能，其步骤如下：
2.1、登录BIG-IP的WEB配置界面；
2.2、点击System->Logs->Options.
2.3、在Audit Logging部分，定位MCP选项；
2.4、从下拉菜单选择“Enabled”；
2.5、点击Update按钮保存配置。
其最终配置结果显示如下：
一旦系统时区变更，MCP审计功能就会在审计日志里面记录。
你可以通过WEB界面的System->Logs->Audit查看相关日志，也可以通过CLI查看/var/log/audit文件。
比如，将系时区变成America/New York,然后再改成Asia/Shanghai(记得reboot设备哦)，WEB界面和CLI分别显示如下：
图1 WEB界面显示
图2 CLI显示
3 关于date修改系统时间审计
查看/root/.bash_history文件来查看是否使用过date命令手动修改系统时间。
例如：
#1278032452
date
#1278032462
date 070209012010.23
文件.bash_history的每条记录的时间戳以“#”开始，并且时间戳使用UNIX时间格式的UTC（通用协调时）时间。
如果将公立日期转换成UNIX格式的通用协调时，敲入类似格式的命令：
date +%s -ud "Jul 9, 2010 01:00:52"
命令的输出结果：
[root@asm:Active] ~ # date +%s -ud "Jul 9, 2010 01:00:52"
1278637252
如果将UNIX格式的通用协调时转换成公立日期，敲入类似格式的命令：
perl -e 'print scalar gmtime(1278637252), "\n"'
命令输出结果：
[root@asm:Active] ~ # perl -e 'print scalar gmtime(1278637252), "\n"'
Fri Jul 9 01:00:52 2010
4 关于NTP时钟自动校验审计
查看/var/log/dameon.log文件，就可以审计NTP时钟服务器是否对BIG-IP做过调整和校验。
如果BIG-IP运行时间过慢而被NTP时钟校验，那么可以看到类似的记录：
notice ntpd[6440]: time reset 299.046945 s
如果BIG-IP运行时间过快而被NTP时钟校验，那么可以看到类似的记录：
ntpd[6825]: time reset -458.442974 s。
