项目十二 网络日志和性能管理

相关知识点：
网络日志对于网络非常重要，它记录了系统每天发生的事情，网络管理员用它来检查错误发生原因，或受到攻击者攻击时留下的痕迹，可以使管理员对潜在的系统入侵做出记录和预测。
所谓网络日志，是指系统所制定对象的某些操作和其操作结果按时间有序的集合。每个日志文件由每个日志记录所组成，每条日志记录一个事件。通常情况下，用户是可以直接阅读日志的。

优点：
1.可以处理历史数据
2.不会受防火墙阻隔
3.可以追踪带宽或下载完成
4.可以追踪搜索引擎蜘蛛
5.可以追踪移动用户

缺点：
1.受代理和缓存的影响
2.不能追踪事件
3.需要手动升级软件
4.需要将数据存放在本地
5.搜索引擎机器人会增加浏览数据

网络日志的格式：
Windows 2003 日志包括：应用程序日志、安全日志、系统日志、DNS服务日志，FTP连接日志和HTTPD日志等。默认情况下，日志文件大小为512KB。

• 日志保存默认的位置如下：
  安全日志：%systemroot%\system32\config\SecEvent.EVT
  系统日志：%systemroot%\system32\config\SysEvent.EVT
  用程序日志文件：%systemroot%\system32\config\APPEvent.EVT
  FTP连接日志和HTTPD事务日志:%systemroot%\system32\LogFiles\，下面还有子文件夹，分别对应FTP和WEB服务的日志，其对于的后缀名为.Log。
  Windows NT/2003的日志由事件记录组成，每个事件分三个功能区：记录头区、事件描述区和附加数据区。

远程查看Windows 2003 服务器的日志办法
一般情况下，网管都是在本地查看日志记录的，但是由于目前局域网规模太大，不可能实时守在服务器旁，一旦不能查看服务器的运行状况，维护工作就会受到影响，所以远程查看日志就显得尤为重要了。
在远程客户端运行IE浏览器，在地址栏输入“https：//Win2003服务器IP地址：8098”，进入后输入账号密码，在界面中单击“维护”按钮，进入到“维护”管理界面，然后点击“日志”链接，进入日志管理界面，这样就可以进行管理日志工作了。

根据网络系统日志跟踪与分析网络系统的性能变化。FTP日志和WWW日志在默认情况下，每天生成一个日志文件，包含了该日的一切记录，文件名通常为ex(年份)（月份）（日期）。

• 普通的有入侵行为的日志一般是这样的：
• #Software：Microsoft Internet Information Services5.0（微软IIS5.0）
• #Version：1.0（版本1.0）#Date：20040419 0315（服务启动日期）
• #Fields：time cip csmethod csuristem scstatus
• 0315 127.0.0.1 “1” USER administator 331 (IP地址为127.0.0.1 用户名为administator试图登陆)
• 0318 127.0.0.1 “1”PASS - 530（登陆失败）
• 032：04 127.0.0.1 “1”USER nt 331 (IP地址为127.0.0.1用户名为nt的用户试图登陆)
• 032：06 127.0.0.1 “1”PSAA - 530 （登陆失败）
• 032：09 127.0.0.1 “1”USER cyz 331（IP地址为127.0.0.1用户名为cyz的用户试图登陆）
• 0322 127.0.0.1 “1”PASS - 530（登陆失败）
• 0322 127.0.0.1 “1”USER administator 331（IP地址为127.0.0.1用户名的administator用户试图登陆）
• 0324 127.0.0.1 “1”PASS - 230（登陆成功）
• 0322 127.0.0.1 “1”MKD nt 550（新建目录失败）
• 0325 127.0.0.1 “1”QUIT　-　550（退出FTP程序）

从日志里就能看出来IP地址为127.0.0.1的用户一直试图登陆系统，换了４次用户名和密码才成功，这是我们在产看日志的时候，立即就能知道这个IP至少有侵入企图，而他侵入时间以及探索用户名都很清楚的记录在日志上。

WWW服务于FTP服务一样，产生的日志也在%systemroot%\sys tem32\LogFiles\W3SVC1目录下，默认也是每天一个日志。而Web的日志与其他日志不同，他分析的要清楚的多，需要管理员有丰富的入侵、防护知识，并且要有足够的细心，否则很容易漏掉那种简单的日志，而通常这样的日志又是非常关键的，通过Web的日志还可以看出访问者的IP地址，它访问的IP地址通过哪个端口访问了什么内容，还可看出访问者用的浏览器。所以Web浏览器更加细致的可以看出入侵者的信息。