admin 管理员组

文章数量: 1184232

利用开源工具实现轻量级上网行为审计 来源ispublic com

分享一下我老师大神的人工智能教程！零基础，通俗易懂！

也欢迎大家转载本篇文章。分享知识，造福人民，实现我们中华民族伟大复兴！

来源ispublic

Google上貌似找不到利用开源软件实现上网行为审计的文章——这也难怪，开源在国内并不流行，而上网行为审计在国外也不流行。不过这并不代表不能实现，IS in Public通过本文提供一种利用开源嗅探工具与脚本实现轻量级上网行为审计的思路与方法。

实施条件：
服务器一台：
流量越大性能要求要高，远程管理需要双网卡，若果有大量的数据必须写入磁盘，建议RAID0/RAID10;

交换机镜像口：
存在条件将所有需要审计的网络流向镜像给行为审计服务器；

软件环境：
操作系统             CentOS5.5-i386
审计工具             Justniffer0.5.7
依赖关系             boost1.33.1
                             libpcap0.9.4
                             libnet1.1.2.1
                             libnids1.24
                             gcc4.1.2(仅在编译时有用)

实施步骤
1.安装操作系统：
为日志保存路径建立分区，若数据量较大且条件允许，最好能做RAID0或者RAID10；
仅需安装以下组件：
        Applications
                 Editors
                 Text-based Internet
        Development
                 Development Libraries
                 Development Tools
        Base System
                 Base

2.安装libpcap

#yum -y install libpcap-devel

若编译安装

#./configure#make#make install

3.安装libnet

#yum -y install libnet

若编译安装

#./configure#make#make install

4.安装justniffer

#tar zxvf justniffer_0.5.7.tar.gz#cd justniffer-0.5.7#./configure#make#make install

假定镜像口连接到eth0，执行以下命令看是否能抓到包：

#justniffer -i eth0 -r

如果屏幕有信息显示则说明安装成功。

开始审计
Justniffer目前支持的协议有： HTTP, JDBC, RTSP, SIP, SMTP, IMAP, POP, LDAP。对我们最有价值的可能是HTTP和SMTP，即网页浏览与邮件发送。至于IM信息，不建议过多考虑，毕竟大多数IM软件（如QQ）都已自行加密，而且MSN也有MSNSHELL和各种插件。

如果仅仅需要监视员工浏览了哪些URL，建议使用命令：

#justniffer -i eth0 -p "port 80" -l "%request.timestamp(%F %T) %source.ip /%dest.ip %request.header.host %request.url %request.header.referer%newline"/>> /var/log/httpmonitor

如果需要监视包括员工发帖记录在内的一些详细信息，建议使用命令：

#justniffer -i eth0 -p "port 80" -l "%request.timestamp(%F %T) %source.ip /%dest.ip%newline%request" >> /var/log/httpmonitor

如果需要监视员工发送的邮件（不包括邮件收取和web访问方式），可使用命令：

#justniffer -i eth0 -p "port 25" -r >> /var/log/mailmonitor

详细的justniffer命令参数请参考官方网站。

中文问题
一个比较令人头疼的问题是中文的编码问题，不过像百度贴吧、天涯这些网站对发帖中的中文都使用了URI编码。一个用perl将URI编码的参数转换成中文的例子：

#!/usr/bin/perl
  1. #From Tsing of ispublic
  2. use URI:: Escape;
  3. $content=uri_unescape ( $ARGV [ 0 ] );
  4. print "$content/n";

先写到这，之后有空再写几个用于大型企业部署的脚本。

 

           

给我老师的人工智能教程打call！

本文标签： 利用开源工具实现轻量级上网行为审计 来源ispublic com

版权声明：本文标题：利用开源工具实现轻量级上网行为审计 来源ispublic com 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：https://www.roclinux.cn/p/1698030324a283564.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。