在Linux系统中，日志文件是识别攻击尝试的关键资源
当系统出现异常时，日志往往是第一个能告诉你“发生了什么”的地方。下面，我们就来梳理一下那些至关重要的日志文件，以及如何从中揪出攻击的蛛丝马迹。
常见日志文件
-
/var/log/auth.log- 这里堪称“安全审计中心”，所有跟身份认证沾边的事儿都记在这儿，比如谁尝试登录了、谁用了sudo命令等等。
-
/var/log/syslog- 系统的“大杂烩”日志，既有常规运行信息，也夹杂着错误消息，时不时会冒出一些安全警告，值得留意。
-
/var/log/secure- 可以把它看作是
auth.log的“特化版”或“姊妹篇”，在某些发行版里，它更专注地记录安全相关事件。
- 可以把它看作是
-
/var/log/kern.log- 记录的是内核级别的消息。如果系统底层出现了什么“风吹草动”，这里往往能找到线索。
-
/var/log/apache2/access.log和/var/log/apache2/error.log- 如果你在用Apache跑Web服务，这两个日志就是你的“网站监视器”。一个记下所有访问请求，另一个则专门收录错误信息。
-
/var/log/nginx/access.log和/var/log/nginx/error.log- 作用和Apache的日志类似，只不过是专门为Nginx服务器准备的。
-
/var/log/mysql/error.log- 数据库的“健康晴雨表”，MySQL运行中间出现的错误和警告都会在这里留下记录。
识别攻击尝试的方法
-
异常登录尝试
- 攻击者常用的一招就是“撞库”。重点检查短时间内密集的失败登录记录。
- 用
grep命令就能快速定位，比如：grep "Failed password" /var/log/auth.log
-
不寻常的用户活动
- 想想看，凌晨三点有用户登录并执行高危命令，这正常吗？检查非工作时间的登录和异常命令历史。
last命令能帮你快速回顾最近的登录情况：last
-
权限提升尝试
- 攻击者得手后，往往会尝试获取更高权限。留意那些频繁或异常的
sudo使用记录。 - 同样可以用
grep来筛查：grep "sudo" /var/log/auth.log
- 攻击者得手后，往往会尝试获取更高权限。留意那些频繁或异常的
-
异常的网络连接
- 有没有陌生的IP在尝试连接你的服务？这是端口扫描或入侵的常见前兆。
- 使用
netstat或更现代的ss命令查看实时连接状态：netstat -tuln | grep LISTEN
-
文件完整性检查
- 系统关键文件被篡改可是大事。借助
AIDE或Tripwire这类工具，可以像给文件系统拍“快照”一样，监控任何未授权的更改。 - 关键在于定期运行检查并仔细分析报告。
- 系统关键文件被篡改可是大事。借助
-
日志分析工具
- 当服务器多了，手动看日志就成了体力活。这时候，
ELK Stack（Elasticsearch, Logstash, Kibana）这类专业工具就能大显身手。它们能集中管理所有日志，并提供强大的搜索和可视化功能，让异常行为无处遁形。
- 当服务器多了，手动看日志就成了体力活。这时候，
-
自动化脚本
- 最有效的防御往往是自动化的。编写脚本定期扫描日志中的特定模式（比如大量404错误、特定攻击载荷），并设置邮件或信息警报，能让你在攻击发生时第一时间获知。
- 用Python配合正则表达式就能实现很多实用的监控功能。
示例脚本
光说不练假把式。这里给出一个简单的Python脚本示例，它可以帮助你自动检测Apache访问日志中的异常请求：
import re
from collections import defaultdict
# 定义正常请求的模式
normal_pattern = re.compile(r'^\d+\.\d+\.\d+\.\d+ - - \[(.*?)\] "(GET|POST) (.*?) HTTP/1\.1" (\d+) (\d+)$')
# 读取日志文件，标记不符合常规模式的请求
with open('/var/log/apache2/access.log', 'r') as file:
for line in file:
match = normal_pattern.match(line)
if not match:
print(f"异常请求: {line.strip()}")
# 统计请求频率，发现潜在的攻击扫描行为
request_count = defaultdict(int)
with open('/var/log/apache2/access.log', 'r') as file:
for line in file:
match = normal_pattern.match(line)
if match:
request_count[match.group(3)] += 1
# 输出请求频率异常高的URL（例如超过100次）
for request, count in request_count.items():
if count > 100: # 这个阈值可以根据实际情况调整
print(f"频繁请求: {request} - {count}次")总而言之，安全防御是一个持续的过程。通过熟练掌握这些核心日志的位置，并灵活运用上述分析方法和工具，你就能建立起一道有效的监控防线，及时识别并响应Linux系统中潜在的攻击尝试。
