从僵尸网络追踪到入侵检测 第6章 Honeyd日志使用

Honeyd日志使用

 

1、数据包级日志

1）创建日志文件

root@strom-virtual-machine:~# touch /var/log/honeyd.log

2）给予授权

root@strom-virtual-machine:~# chmod 777 /var/log/honeyd.log 

3）通过“-l”参数启动服务

root@strom-virtual-machine:~# honeyd -l /var/log/honeyd.log -f /etc/test.config

4）通过supersan进行扫描，查看防御系统日志写入的日志包文件

2016-01-11-16:59:32.0166 tcp(6) S 10.10.10.134 1048 10.10.1.16 21 [Windows 2000 RFC1323]

2016-01-11-16:59:32.0275 tcp(6) S 10.10.10.134 1049 10.10.1.16 25 [Windows 2000 RFC1323]

2016-01-11-16:59:32.0435 tcp(6) S 10.10.10.134 1050 10.10.1.16 80 [Windows 2000 RFC1323]

2016-01-11-16:59:40.0376 tcp(6) E 10.10.10.134 1048 10.10.1.16 21: 0 0

2016-01-11-16:59:40.0526 tcp(6) E 10.10.10.134 1049 10.10.1.16 25: 0 0

2016-01-11-16:59:40.1197 tcp(6) E 10.10.10.134 1050 10.10.1.16 80: 27 0

5）数据包日志分析

016-01-11-16:59:32.0166 ---时间

tcp(6) --协议

S 代表链接开始，E代表链接结束， “-”表示不属于任何链接

10.10.10.134 1048 源IP和源端口

10.10.1.16 21 目的IP 和目的端口

F:fin 表示发送方传完数据

S:Syn 表示同步序列号

R:Rst 表示重置的链接

P:Push 表示立即发送数据

A:Ack 表示确认字段

U:Urg 表示紧急指针

[Windows 2000 RFC1323] 是猜测信息

2、服务级日志（参数-s）

root@strom-virtual-machine:~# touch /var/log/serverhoneyd

root@strom-virtual-machine:~# chmod +x /var/log/serverhoneyd 

root@strom-virtual-machine:~# honeyd -l /var/log/honeyd.log -s /var/log/serverhoneyd -f /etc/test.config

Honeyd V1.5c Copyright (c) 2002-2007 Niels Provos

honeyd[2696]: started with -l /var/log/honeyd.log -s /var/log/serverhoneyd -f /etc/test.config

honeyd[2696]: listening promiscuously on eth0: (arp or ip proto 47 or (udp and src port 67 and dst port 68) or (ip )) and not ether src 00:0c:29:57:d2:b4

Honeyd starting as background process

 

3、使用Python脚本查询日志

root@strom-virtual-machine:~# cat logfile.py 

#!/usr/bin/env python

import sys

old_day=''

ips={}

for line in open('/var/log/honeyd.log'):

        (date,a,b,srcip,c)=line.split(' ',4)

        day='_'.join(date.split('-')[0:3])

        if day !=old_day:

                if old_day:

                        print old_day.len(ips)

                old_day=day

        ips={}

        ips[srcip]=1

print day,len(ips)

 

root@strom-virtual-machine:~# python logfile.py 

2016_01_11 1   ---在2016年1月11日有1个IP对honeyd防御系统进行扫描