服务器日志玩儿“躲猫猫”

众所周知,日志文件就是服务器操作系统运行的日记,它能按照既定的设置来记录所发生的事件,包括应用程序日志、安全日志和系统日志三类,分别对应于AppEvent.Evt、SecEvent.Evt和SysEvent.Evt三个日志文件。在Windows2000服务器中,这些日志文件默认是存放于C:\WINNT\system32\config文件夹中的。当操作系统系统发生一些大大小小的故障时,有经验的网管就会从这些日志文件中找到一些蛛丝马迹,特别是一些与安全相关的网络入侵证据(比如黑客入侵时的出发IP地址或是登录账号等信息)。不过话又说回来,许多稍有些头脑的黑客也是深知这一点的,因此为防止被抓住入侵的把柄,很多情况下他们在撤退时使用工具或直接手工来清除所有的日志内容(这样的行为俗称擦脚印或擦PP),甚至是事先制作一份假日志文件再上传至config文件夹中以达到鱼目混珠的上的。因此,对于日志文件的保护工作必须要慎重,其中比较可行的简易方法是与黑客玩儿一下躲猫猫,也就是让日志文件撤离其默认的窝,躲藏到黑客所想不到的地方去!