網(wǎng)管主要靠系統(tǒng)的LOG，即我們時(shí)常所說(shuō)的日志文件， 來(lái)獲得侵入的痕跡及你進(jìn)來(lái)的IP，或其他信息。當(dāng)然也有些網(wǎng)管使用第三方工具來(lái)記錄侵入他電腦的痕跡，這里主要要講的是一般UNIX系統(tǒng)里記錄你蹤跡的文件。
那到底這些LOG日志文件放在哪里呢？這主要依靠的是你所進(jìn)入的UNIX系統(tǒng)系統(tǒng)， 各個(gè)系統(tǒng)有些不同的LOG文件，但大多數(shù)都應(yīng)該有差不多的位置，最普通的位置如下：
/usr/adm - 早期版本的UNIX；
/var/adm - 新一點(diǎn)的版本使用這個(gè)位置；
/var/log - 一些版本的Solaris，linux BSD，F(xiàn)ree BSD使用這個(gè)位置；
/etc - 多數(shù)UNIX版本把utmp放在這里，有些也把wtmp放在這里，syslog.conf 在這里。
下面的一些文件根據(jù)你所在的目錄不同而不同：
acct 或 pacct -- 記錄每個(gè)用戶(hù)使用的命令記錄
access_log -- 主要當(dāng)服務(wù)器運(yùn)行NCSA HTTPD時(shí), 記錄什么站點(diǎn)連接過(guò)你的服務(wù)器
aculog -- 保存著你撥出去的MODEMS記錄
lastlog -- 記錄了用戶(hù)最近的LOGIN記錄和每個(gè)用戶(hù)的最初目的地，有時(shí)是最后不成功LOGIN的記錄
loginlog -- 記錄一些不正常的LOGIN記錄
messages -- 記錄輸出到系統(tǒng)控制臺(tái)的記錄，另外的信息由syslog來(lái)生成
security -- 記錄一些使用UUCP系統(tǒng)企圖進(jìn)入限制范圍的事例
sulog -- 記錄使用su命令的記錄
utmp -- 記錄當(dāng)前登錄到系統(tǒng)中的所有用戶(hù)， 這個(gè)文件伴隨著用戶(hù)進(jìn)入和離開(kāi)系統(tǒng)而不斷變化
utmpx -- UTMP的擴(kuò)展
wtmp -- 記錄用戶(hù)登錄和退出事件
syslog -- 最重要的日志文件，使用syslogd守護(hù)程序來(lái)獲得日志信息：
/dev/log -- 一個(gè)UNIX域套接字，接受在本地機(jī)器上運(yùn)行的進(jìn)程所產(chǎn)生的消息
/dev/klog -- 一個(gè)從UNIX內(nèi)核接受消息的設(shè)備
514端口 -- 一個(gè)INTERNET套接字，接受其他機(jī)器通過(guò)UDP產(chǎn)生的syslog消息。
uucp -- 記錄的UUCP的信息，可以被本地UUCP活動(dòng)更新， 也可有遠(yuǎn)程站點(diǎn)發(fā)起的動(dòng)作修改，信息包括發(fā)出和接受的呼叫，發(fā)出的請(qǐng)求，發(fā)送者， 發(fā)送時(shí)間和發(fā)送主機(jī)。
lpd-errs -- 處理打印機(jī)故障信息的日志
ftp日志 -- 執(zhí)行帶-l選項(xiàng)的ftpd能夠獲得記錄功能
httpd日志 -- HTTPD服務(wù)器在日志中記錄每一個(gè)WEB訪(fǎng)問(wèn)記錄
history日志 -- 這個(gè)文件保存了用戶(hù)最近輸入命令的記錄
vold.log -- 記錄使用外接媒介時(shí)遇到的錯(cuò)誤記錄
======================
其他類(lèi)型的日志文件-
======================
有些類(lèi)型的LOG文件沒(méi)有特定的標(biāo)題，但開(kāi)始于一個(gè)特定的標(biāo)志， 你可以在前面頭發(fā)現(xiàn)如下的標(biāo)志，這就一般表示此是個(gè)LOG日志文件，你就可以編輯它了：
xfer -- 表明試圖一個(gè)禁止的文件傳輸.
rexe -- 表明試圖執(zhí)行一個(gè)不允許的命令
還有許多其他其他類(lèi)型的LOG文件存在，主要是第三方軟件引起的， 或者甚至他媽的網(wǎng)管自己有設(shè)置了一只"眼睛"在他的系統(tǒng)上，所以你要對(duì)你認(rèn)為可能是LOG文件的文件多一份心眼。許多管理員喜歡把日志文件放在同一個(gè)目錄中以便管理， 所以你要檢查你發(fā)現(xiàn)的LOG文件所在的目錄中，是否有其他日志文件放在這里，如果有,咯，你知道怎么做。
另一個(gè)你要注意的是有關(guān)LOG用戶(hù)MAIL的文件，此文件名可以多種多樣，或則有時(shí)是syslog文件的一部分。你要知道syslog記錄那些信息，你可以查看syslog.conf中的信息此文件的目錄是在/etc中。
======================
Windows NT的審計(jì)跟蹤
======================
幾乎WINDOWS NT系統(tǒng)中的每一項(xiàng)事務(wù)都可以在一定程度上被審計(jì)，在WINDOWS NT中可以在兩個(gè)地方打開(kāi)審計(jì)-EXPLORER 和USER MANAGER，在EXPLORER中，選擇Securtiy，再選擇Auditing以幾乎Directory Auditing對(duì)話(huà)框，系統(tǒng)管理員可以在這個(gè)窗口選擇跟蹤有效的和無(wú)效的文件訪(fǎng)問(wèn)，在USER MANAGER中，系統(tǒng)管理員可以根據(jù)各種用戶(hù)事件的成功和失敗選擇審計(jì)策略，如登錄和退出，文件訪(fǎng)問(wèn)，權(quán)限非法和關(guān)閉系統(tǒng)等。
WINDOWS NT 是使用一種特殊的格式存放它的日志文件，這種格式的文件可以被事件查看器 EVENT VIEWER讀取。事件查看器可以在ADMINISTRATIVE TOOL程序組中找到。 系統(tǒng)管理員可以使用事件查看器的Filter選項(xiàng)根據(jù)一定條件選擇要查看的日志條目，查看條件包括類(lèi)別，用戶(hù)和消息類(lèi)型。
WINDOWS NT 在三個(gè)分開(kāi)的日志文件存放審計(jì)信息：
Application Log - 文件包括用NT SECURITY AUTHORITY注冊(cè)的應(yīng)用程序產(chǎn)生的信息。
Security Log - 包括有關(guān)通過(guò)NT可識(shí)別安全提供者和客戶(hù)的系統(tǒng)訪(fǎng)問(wèn)信息。
System Log - 包含所有系統(tǒng)相關(guān)事件的信息。
WINDOWS NT FTP連接的日志：
WINDOWS NT可以記錄入境的FTP連接，在注冊(cè)表中進(jìn)行了修改后， 你可以是否記錄由匿名的，正常用戶(hù)或者兩種用戶(hù)建立的連接，可以在事件查看器中查看這些日志條目。
WINDOWS NT的HTTPD事務(wù)系統(tǒng)管理員可以使用NT的HTTPD服務(wù)在日志中記錄對(duì)特定文件的訪(fǎng)問(wèn)企圖。 可以在控制面板的HTTPD配置工具中選擇一個(gè)激活日志功能特性。
