為了抵擋Internet網(wǎng)絡(luò)病毒的瘋狂襲擊，許多網(wǎng)絡(luò)管理員想出了 各種辦法來加強網(wǎng)絡(luò)安全控制；不過其中的很多辦法不是需要外力工具的幫忙，就是需要網(wǎng)絡(luò)管理員熟悉服務(wù)器系統(tǒng)的各種安全設(shè)置，這對接觸網(wǎng)絡(luò)管理工作不久的 “菜鳥”級管理員來說，不但顯得有點麻煩，而且也有點高深。事實上，任何一臺服務(wù)器系統(tǒng)在默認狀態(tài)下會自動啟用日志功能，來將訪問服務(wù)器系統(tǒng)的任何行為捕 捉、記錄下來，網(wǎng)絡(luò)管理員只要巧妙地學會使用日志，同樣也能夠?qū)崿F(xiàn)加強網(wǎng)絡(luò)安全控制的目的！ 一、實地分析，尋找安全隱患 某單位的IIS服務(wù)器在深夜時分遭受到黑客的非法攻擊，當天值班的網(wǎng)絡(luò)管理員小王發(fā)現(xiàn)IIS服務(wù)器不能正常工作后，立即電話聯(lián)系了經(jīng)驗豐富的 前輩級網(wǎng)絡(luò)安全工程師老張。早上上班后，老張火速趕到IIS服務(wù)器現(xiàn)場，沒有多長時間，老張就將攻擊IIS服務(wù)器的非法攻擊著找了出來，并且一并發(fā)現(xiàn)了 IIS服務(wù)器系統(tǒng)中的其他安全隱患。事實上，老張之所以能這么快尋找到IIS服務(wù)器系統(tǒng)中的安全隱患，主要就是因為他巧妙地利用了服務(wù)器系統(tǒng)自帶的日志功 能。 一般來說，非法攻擊者企圖攻擊目標IIS服務(wù)器系統(tǒng)時，往往會花費一番心思來收集目標IIS服務(wù)器系統(tǒng)的各種信息，通過一些專業(yè)級別的掃描工 具，來掃描目標IIS服務(wù)器系統(tǒng)此時此刻是否存在安全漏洞；而目標IIS服務(wù)器系統(tǒng)的日志功能在默認狀態(tài)下，能夠自動記憶下各種訪問過本地系統(tǒng)的行為，并 將這些記憶下來的內(nèi)容存儲到指定的日志文件中，這個日志文件中包含的內(nèi)容往往有被掃描的服務(wù)器端口號碼、訪問用戶名、客戶端的IP地址等；仔細分析這些內(nèi) 容，我們往往就能大概判斷出本地IIS服務(wù)器系統(tǒng)有沒有安全隱患存在。 在查看本地系統(tǒng)的日志文件時，我們可以先依次單擊“開始”/“設(shè)置”/“控制面板”命令，然后用鼠標雙擊系統(tǒng)控制面板窗口中的“管理工具”圖標，在彈出的管理工具窗口中再雙擊“事件查看器”選項，進入本地系統(tǒng)的事件查看器窗口（如下圖所示）。 在上圖界面的左側(cè)子窗格中，我們會看到日志文件主要包含安全日志、系統(tǒng)日志、應(yīng)用程序日志這幾種類型。用鼠標點選某一種類型的日志文件，在對 應(yīng)該文件的右側(cè)子窗格中，我們就能看到所有日志記錄的列表了，用鼠標雙擊某一個日志記錄，在其后彈出的屬性設(shè)置對話框中我們就能看到具體的記錄內(nèi)容了，根 據(jù)記錄內(nèi)容我們就能直觀地了解到服務(wù)器系統(tǒng)在什么時間發(fā)生了什么事情。 對IIS服務(wù)器系統(tǒng)的各種日志文件進行分析，我們就能看到各種審核事件的記錄，這些內(nèi)容記錄了所有訪問者在IIS服務(wù)器系統(tǒng)中的各種活動，通過對各種活動行為的分析，我們就能很輕易地找到本地IIS服務(wù)器系統(tǒng)究竟存在哪些安全隱患了。 不過，一些黑客在攻擊了目標IIS服務(wù)器系統(tǒng)之后，往往會千方百計地想辦法清空IIS服務(wù)器系統(tǒng)中各種類型的日志文件，以便將它們攻擊IIS 服務(wù)器系統(tǒng)時遺留下來的痕跡全部清除干凈，那樣一來網(wǎng)絡(luò)管理員就無法從系統(tǒng)的各個日志文件中，快速尋找到IIS服務(wù)器系統(tǒng)的各種安全隱患了。所以，有效地 保護好IIS服務(wù)器系統(tǒng)的日志文件，對追查系統(tǒng)的安全隱患以及尋找非法攻擊者具有很大的幫助。 如果遇到服務(wù)器系統(tǒng)日志文件被刪除的情況時，我們可以使用專業(yè)的數(shù)據(jù)恢復(fù)工具來嘗試還原數(shù)據(jù)信息和日志文件；因為刪除日志文件往往是非法攻擊 者在IIS服務(wù)器系統(tǒng)中進行的最后一項操作，一般來說他們在刪除完日志文件后不會在服務(wù)器系統(tǒng)中進行其他的操作了，所以在遇到日志文件被非法刪除的現(xiàn)象 時，我們千萬不能向服務(wù)器系統(tǒng)執(zhí)行任何添加刪除操作，以便確保專業(yè)工具能夠成功地將已經(jīng)刪除了的日志文件恢復(fù)成功。 另外，要是IIS服務(wù)器系統(tǒng)工作的時間比較長，目標網(wǎng)站站點的訪問流量比較大時，那么服務(wù)器自動生成的日志文件可能就比較大，此時再按照上面的方法來分析 系統(tǒng)的各種日志文件時，就顯得十分麻煩，而且也不容易分析準確。為此，在這種情況下，我們需要借助專業(yè)的日志分析工具來幫忙，當然也可以使用 Windows系統(tǒng)自帶的“find”功能命令來幫忙。 當然有的時候，單純依靠IIS服務(wù)器系統(tǒng)日志文件，我們并不能明確找到某些安全隱患，這個時候還可以嘗試借用其他軟件的一些日志記錄，來進行進一步安全篩 查操作。例如，在IIS服務(wù)器系統(tǒng)的日志文件中一旦發(fā)現(xiàn)有可疑的事件或?qū)ο髸r，我們應(yīng)該將它們發(fā)生的具體時間記錄下來，并且在所有日志種類中篩選出指定時 間內(nèi)記錄下來的所有記錄，然后綜合分析一下防火墻程序的日志文件或Serv-U程序的日志文件，如此一來我們就能輕易找到具體的安全隱患了。

　　二、遠程追蹤，揪出非法黑客 筆者下午上班后，象往常一樣檢查了一下單位文件服務(wù)器的運行狀態(tài)，在檢查過程中筆者發(fā)現(xiàn)文件服務(wù)器中的一些重要數(shù)據(jù)被非法黑客竊取了；為了防止非法黑客繼續(xù)攻擊單位的文件服務(wù)器，筆者立即聯(lián)系了遠在外地學習的網(wǎng)絡(luò)管理員小王，請求他想辦法解決這一安全麻煩。 網(wǎng)絡(luò)管理員小王建議先仔細查看一下文件服務(wù)器的日志，無奈筆者并不能從日志文件中看出什么名堂；經(jīng)過一番協(xié)商，網(wǎng)絡(luò)管理員小王準備嘗試使用遠 程管理的方法來查看文件服務(wù)器的日志文件，經(jīng)過他的遠程追蹤，終于將非法黑客揪了出來。現(xiàn)在，本文就將網(wǎng)絡(luò)管理員小王遠程查看日志文件的具體過程還原出 來，供各位朋友們參考！ 要想通過遠程管理方法來遠程查看服務(wù)器系統(tǒng)中的日志文件，我們需要先在服務(wù)器系統(tǒng)中安裝啟用好遠程管理功能組件，該功能組件在默認狀態(tài)下并沒有被安裝。在安裝遠程管理功能組件時，我們可以按照如下步驟來操作： 首先以系統(tǒng)管理員權(quán)限登錄進入服務(wù)器系統(tǒng)，在該系統(tǒng)桌面中依次單擊“開始”/“設(shè)置”/“控制面板”命令，在彈出的系統(tǒng)控制面板窗口中，雙擊 “添加或刪除程序”圖標，在其后出現(xiàn)的窗口中單擊“添加/刪除Windows組件”標簽，打開Windows組件向?qū)υ捒颍ㄈ缦聢D所示）； 其次選中該向?qū)υ捒蛑械?ldquo;應(yīng)用程序服務(wù)器”選項，同時單擊該選項下面的“詳細信息”按鈕，在其后彈出的設(shè)置對話框中，看看 “Internet信息服務(wù)（IIS）”項目有沒有被選中，如果發(fā)現(xiàn)該選項還沒有被選中時，我們應(yīng)該及時將它重新選中（如下圖所示），然后再單擊“詳細信 息”按鈕，同時將其后界面中的“萬維網(wǎng)服務(wù)選項”選中；