Code Red - hvordan tæller man angrebene ??

Kig i din logfil

Hvad skal man lede efter ??
(en bestemt streng?)

The "Code Red" worm activity can be identified on a machine by the presence of the following string in a web server log files:

/default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN
NNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%
u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531
b%u53ff%u0078%u0000%u00=a

The presence of this string in a log file does not neccessarily indicate compromise. Rather it only implies that a "Code Red" worm attempted to infect the machine.

Er der ikke nogle der har lavet et smart ASP script eller program der kan "Gennemse" logfilerne for Code Red angreb og summere dem op efter IP adresser og dato ???

Kig her:
http://www.yancy.net/Perl/index.html

Programmet hedder RedWorm og laver et udtræk på de angreb der er, så du ikke behøver at kigge hele logfilen igennem.