- 论坛徽章:
- 1
|
|
6.3.1ACID主页面\r\nACID主页面显示当前数据的概要。它用不同的部分分组显示信息。你可以看到各个协议的流量概况，取得某个Snort感应器的快照信息，搜索数据等等，如图6-4所示。\r\n\r\n点击图6-4上面的连接，你可以看到大量的信息。\r\n\r\n向数据库记录数据的探测器列表。\r\n告警的数量及详细信息。\r\n所捕获的包的源地址，你可以从中察看谁在试图攻击你的网络。你也可以通过相关连接来察看whois数据库。\r\n所捕获的包的目的地址。\r\n源和目的端口。\r\n与特定协议相关的告警，如TCP、UDP、ICMP告警。\r\n查找特定类型的告警和日志条目。\r\n频率最高的告警。\r\n告警数据的图表，目前这个功能还在实验中。\r\n\r\n在下面的屏幕截图中你可以了解一些重要的信息，但通过实践你可以了解，ACID能够提供给你更多的有用信息。\r\n6.3.1协议相关数据列表\r\n在主页面，你可以点击一个协议来取得所记录的关于这个协议的包的信息。图6-5显示的是关于ICMP协议信息的屏幕截图。在屏幕的下面，你可以看到15个包的信息被记录到数据库。你可以点击其中任意一个来获得关于这个包的详细信息。\r\n6.3.3告警信息细节\r\n图6-6显示了某个你在图6-5看到的ICMP包的细节，其中包含很多部分，每部分显示了数据包的一个层面，最上面的部分是关于这个告警的总体信息。IP部分显示了IP头部的所有部分，ICMP头部显示了ICMP数据，接着是载荷。载荷同时以16进制和ASCII码形式表示。\r\n6.3.4 查询\r\nACID的一个重要特性是可以用一些参数来查询日志和告警，例如：\r\n某个探测器\r\n开始和结束的时间\r\n源和目的地址\r\nIP头部的不同字段\r\n传输层协议\r\nIP包载荷中的字符\r\n\r\n如图6-7,执行查询是非常简单的，你只要点击“Query DB”就可以显示所查询的数据。\r\n例如，如果你想在所有的告警信息中查询包含字符“ATTACK RESPONSE”的包，你可以像图6-8那样填充信息。\r\n查询结果如6-9所示。 |
|
免费注册
楼主: phiazat
发表于 2006-10-27 23:41