Исходное сообщение
"Разбор последствий взлома Linux-хостов выявил странную актив..." Отправлено PereresusNeVlezaetBuggy, 03-Дек-11 21:29
>> Ещё раз: "... от анализатора логов". Которому пофиг на остальной мусор, хоть >> из /dev/zero заполните всё остальное: анализатор реагирует на конкретные паттерны. > Еще раз: лог заполняется не мусором, а вполне определенными записями, соответствующими > тем самым паттернам. В результате даже на выходе анализатора логов будет > огромная куча ложной информации, неотличимой от единичных истинных записей. И как вы собираетесь подделывать логи? Вот вам access-лог Apache. Имеем отметку времени, IP-адрес, GET-запрос, UA, ну и что там админу ещё захочется видеть. Как вы забьёте ложной информацией первые записи, которые могут послужить индикатором проникновения, если они появляются в журнале по определению ДО того, как вы получите возможность что-то сделать? Будете заранее загаживать логи с других IP-адресов? - это всего лишь покажет: а) что атака была по факту начата раньше; б) что в access-логах действительно есть что-то ценное, и уж тогда они будут проанализированы куда пристальнее. Повторюсь, от анализатора логов это НЕ СПАСЁТ. Ну а если у вас есть возможность непосредственно изменять логи, то это уже совсем другой разговор.