Detectar invasão com o log do Apache (IDS)

2

Eu tenho um log do apache. existe um IDS (Intrusion Detecting System) para detectar intrusões no meu servidor?

Eu só tenho um log do apache

    
por user2517728 02.12.2013 / 13:58

1 resposta

2

Existe um aplicativo chamado Apache-scalp . É um analisador de log do Apache.

  

Couro cabeludo! é um analisador de log para o servidor web Apache que visa procurar   por problemas de segurança. A idéia principal é olhar através de enormes arquivos de log   e extrair os possíveis ataques que foram enviados através de HTTP / GET   (Por padrão, o Apache não registra a variável HTTP / POST).

Você pode fazer o download em: link

Exemplo de uso:

./scalp-0.4.py -l /var/log/httpd_log -f ./default_filter.xml -o ./scalp-output --html

Recursos:

O Scalp tem algumas opções que podem ser úteis para poupar tempo ao escalar um enorme arquivo de log ou para realizar um exame completo; as opções padrão estão quase ok para arquivos de log de centenas de MB.

Opções atuais:

  • exaustivo: não irá parar no primeiro padrão correspondente, mas testará todos os padrões
  • tough: Decodificará parte de possíveis ataques (isso é feito para usar melhor o regexp do PHP-IDS para diminuir a taxa de falsos negativos)
  • período: especifique um período de tempo para analisar, todo o resto será ignorado
  • sample: Faz uma amostragem aleatória das linhas de log para observar uma determinada porcentagem, isso é útil quando o usuário não quer fazer uma varredura completa de todo o log, mas apenas faz ping para ver se existe é algum problema.
  • attack: Especifique em quais classes de vulnerabilidades a ferramenta será analisada (por exemplo, procure apenas XSS, SQL Injection, etc.)
por rɑːdʒɑ 02.12.2013 / 14:23