Windows 2000 Server 入侵偵測實戰技巧：日誌分析與安全稽核

前言：安全是持續的過程，而非一次性配置

經過精心配置的 Win2000 Server 可防禦 90% 以上的入侵嘗試，但系統安全會隨著新漏洞發現、應用變更而持續變化。攻防對抗是動態平衡，再資深的管理員也無法保證長期服務的絕對安全。因此，安全配置只是漫長維運工作的起點。本文探討利用 Win2000 內建功能與自製腳本進行入侵偵測的核心技巧（不含防火牆/IDS 專用設備）。

假設環境

• 已完成 Win2000 Server 基礎安全配置（參考「Win2000 Server 安全配置入門」）
• 可抵禦大多數「腳本小子」，但無法防範真正高手或 0-day 漏洞利用
• 漏洞公開到補丁釋出間存在時間窗口，此時入侵偵測至關重要

核心偵測面向

1. 基於 80 連接埠（Web 服務）的入侵偵測

WWW 服務最常見、流量最大、漏洞最多。IIS 內建日誌是偵測利器。

IIS 日誌配置關鍵

• 預設路徑：System32\LogFiles，24 小時滾動
• 務必啟用 W3C 擴展日誌格式，至少記錄：時間、客戶端 IP、HTTP 方法、URI 資源、URI 查詢、協定狀態
• 未詳細記錄 = 事後無法追蹤入侵者 IP

實戰案例：Unicode 漏洞攻擊日誌分析

攻擊請求：GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir

日誌記錄：

07:42:58 127.0.0.1 GET /scripts/..../winnt/system32/cmd.exe /c+dir 200

解讀：格林威治時間 07:42:58（北京時間 15:42:58），攻擊者利用 Unicode 解碼漏洞（%c1%1c 解碼為 \）成功執行 cmd.exe /c dir，HTTP 200 代表成功回應。

自動化日誌分析策略

• 人工檢查不可行（日誌動輒數十 MB 到 GB）
• 建立敏感字串清單：已知 IIS 漏洞特徵（如 +.htr）、高風險資源（Global.asa、cmd.exe）
• 使用 find.exe 或 findstr.exe 定期過濾：
  find "Global.asa" ex010318.log /i
• 進階需求建議用 C/C++ 撰寫專用分析程式
• 排程在夜間離峰時段自動執行，可疑結果郵件通知管理員

2. 基於安全性日誌的偵測

IIS 日誌有盲區：請求中途失敗（TCP 層未完成 HTTP）不會記錄，攻擊者可繞過日誌。非 80 連接埠服務更需完整監控體系。

啟用安全性稽核（預設關閉）

路徑：管理工具 → 本地安全性原則 → 本地原則 → 稽核原則

• 必開：「登入事件」、「帳號管理」的「成功」與「失敗」
• 其他項目至少啟用「失敗」稽核，增加入侵者暴露機率

日誌容量與保護策略

• 設定安全性日誌大小 ≥ 50 MB
• 僅覆寫 7 天前的日誌，防止攻擊者用大量偽造事件洗刷真實蹤跡

檢查機制

• 建議：每天上班第一件事檢視前一日安全性日誌（入侵者多在夜間行動）
• 輔助：系統日誌、應用程式日誌常殘留蛛絲馬跡，即使攻擊者清理安全性日誌，這兩者也可能留下證據
• 可撰寫腳本自動郵寄日誌摘要，但需防範腳本本身被竄改

3. 檔案存取稽核與關鍵檔案保護

對關鍵檔案（如 cmd.exe、系統核心檔）啟用 NTFS 檔案存取稽核，記錄「讀取」、「寫入」、「執行」、「建立」、「屬性變更」等操作。重點監控「修改」與「存取」事件，能有效發現異常竄改與側通道利用。

總結

入侵偵測的核心在於「知己知彼、持續監控、自動化分析」：善用 IIS 日誌掌握 Web 攻擊面、啟用完整安全性稽核建立審計追蹤、對關鍵資產實施檔案層級監控。將這些機制內建化、自動化，才能在漏洞窗口期贏得反應時間。