Дублирование информации системных журналов
Другим способом сохранения информации, содержащейся в системных журналах, является ее дублирование. Исходный системный журнал размещается там, где его и рассчитывает найти хакер, но дубликаты того же файла сохраняются на совершенно другом компьютере, желательно таком, на котором никому (даже тому, кто зарегистрировался в системе с правами администратора) не будет позволено модифицировать или удалить их. В распоряжении системных администраторов имеются специальные программы анализа системных журналов (iogfik’ analysis programs), которые могут сравнивать две версии журнала и уведомлять системного администратора о любых расхождениях между ними, указывающих на возможное вмешательство хакера.
Для получения более полного представления о возможностях программ анализа содержимого системных журналов вы можете посетить узлы, перечень которых приводится ниже:
Analog
Sawmill
NetTracker
Webalizer