在金盾防火墙里面怎么看机房是否被攻击，某个ip是否被攻击

列如，系统日志被删了，说明被攻击了，作为一个黑客攻击完成往往会删除日志，掩盖行为。

再之，宽带流量特别大，在使用电脑时鼠标会自己移动，至于楼主所说的不必要看那么多

还可：安全审核让入侵者显形

　有时候你是否想知道在你的主机或服务器上发生的事情——谁来访问过？其实Windows 2000给我们提供了一项非常有用的功能：安全审核功能。安全审核可以用日志的形式记录好几种与安全相关的事件，你可以使用其中的信息来生成一个有规律活动的概要文件，发现和跟踪可疑事件，并留下关于某一侵入者活动的有效法律证据。

打开审核策略

Windows 2000的默认安装没有打开任何安全审核，所以需要进入[我的电脑]→[控制面板]→[管理工具]→[本地安全策略]→[审核策略]中打开相应的审核。系统提供了九类可以审核的事件，对于每一类都可以指明是审核成功事件、失败事件，还是两者都审核(如图1)。

策略更改：安全策略更改，包括特权指派、审核策略修改和信任关系修改。这一类必须同时审核它的成功或失败事件。

登录事件：对本地计算机的交互式登录或网络连接。这一类必须同时审核它的成功和失败事件。

对象访问：必须启用它以允许审核特定的对象，这一类需要审核它的失败事件。

过程追踪：详细跟踪进程调用、重复进程句柄和进程终止，这一类可以根据需要选用。

目录服务访问：记录对Active Directory的访问，这一类需要审核它的失败事件。

特权使用：某一特权的使用；专用特权的指派，这一类需要审核它的失败事件。

系统事件：与安全(如系统关闭和重新启动)有关的事件；影响安全日志的事件，这一类必须同时审核它的成功和失败事件。

账户登录事件：验证(账户有效性)通过网络对本地计算机的访问，这一类必须同时审核它的成功和失败事件。

账户管理：创建、修改或删除用户和组，进行密码更改，这一类必须同时审核它的成功和失败事件。

打开以上的审核后，当有人尝试对你的系统进行某些方式(如尝试用户密码，改变账户策略，未经许可的文件访问等等)入侵的时候，都会被安全审核记录下来，存放在“事件查看器”中的安全日志中。

另外在“本地安全策略”中还可开启账户策略，如在账户锁定策略中设定，账户锁定阀值为三次(那么当三次无效登录将锁定)，然后将账户锁定时间设定为30分钟，甚至更长。这样，黑客想要攻击你，一天24小时试密码也试不了几次，而且还要冒着被记录追踪的危险。

审核策略设置完成后，需要重新启动计算机才能生效。这里需要说明的是，审核项目既不能太多，也不能太少。如果太少的话，你如果想查看黑客攻击的迹象却发现没有记录，那就没办法了，但是审核项目如果太多，不仅会占用大量的系统资源，而且你也可能根本没空去全部看完那些安全日志，这样就失去了审核的意义。

对文件和文件夹访问的审核

对文件和文件夹访问的审核，首先要求审核的文件或文件夹必须位于NTFS分区之上，其次必须如上所述打开对象访问事件审核策略。符合以上条件，就可以对特定的文件或文件夹进行审核，并且对哪些用户或组指定哪些类型的访问进行审核。

　在所选择的文件或文件夹的属性窗口的“安全”页面上，点击[高级]按钮；在“审核”页面上，点击[添加]按钮，选择想对该文件或文件夹访问进行审核的用户，单击[确定]；在“审核项目”对话框中，为想要审核的事件选择“成功”或是“失败”复选框(如图2)，选择完成后确定。返回到“访问控制设置”对话框，默认情况下，对父文件夹所做的审核更改将应用于其所包含子文件夹和文件。如果不想将父文件夹所进行的审核更改应用到当前所选择的文件或文件夹，清空检查框“允许将来自父系的可继承审核项目传播给该对象

审核结果的查看和维护

设置了审核策略和审核事件后，审核所产生的结果都被记录到安全日志中，使用事件查看器可以查看安全日志的内容或是在日志中查找指定事件的详细信息。

图4事件查看

在“管理工具”中运行“事件查看器”，选择“安全日志”。在右侧显示日志列表，以及每一条目的摘要信息(如图4)。如果你在几个登录的失败审核后面又发现登录的成功审核，那你就要仔细查看这些日志信息了，如果是密码太简单被人猜出，就需要增加密码的长度和复杂性了。在这里可以查看各个事件的详细信息，还可以查找和筛选符合条件的事件。

随着审核事件的不断增加，安全日志文件的大小也会不断增加，默认情况下日志文件的大小是512KB，当达到最大日志尺寸时，系统会改写7天以前的事件。其实我们可以根据需要进行更改。用鼠标右击“事件查看器”的“安全日志”项，选择“属性”，进入安全日志的属性窗口(如图5)，在“常规”标签页面上，网管员可以根据自己实际需要修改系统的这些默认设置，以满足自己存储安全日志的需要。

如果是这样，金盾就是目前地球上最强大的抗DDOS厂家了。

他的硬防不能避免你的服务器崩溃，因为在你的服务器崩溃之前，硬防就先倒下了。他的20G本身就是在胡扯八道，谈不上顶住多大流量。思科才单板3G，金盾比他还厉害吗？

这是个骗子，金盾能防DDOS我信，能防20G是不可能的。你去看看电信的国干、城域网在用谁的设备？思科，华为，绿盟。有金盾的事吗？

DDOS攻击的目的有两个：一个是消耗网络带宽资源，二是消耗服务器系统资源。

因此在遇到DDOS攻击的典型现象就是，带宽资源被耗尽，或者服务器系统资源被占满。

在遇到DDOS攻击，用户需要判断攻击的方式，进而采取相应的措施。

但是，此时实际上已经给用户造成了影响了，因此建议用户使用专业的抗DDOS攻击，提前预防。

修改注册表防范DDos攻击：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters]

'关闭无效网关的检查。当服务器设置了多个网关，这样在网络不通畅的时候系统会尝试连接

'第二个网关，通过关闭它可以优化网络。

"EnableDeadGWDetect"=dword:00000000

'禁止响应ICMP重定向报文。此类报文有可能用以攻击，所以系统应该拒绝接受ICMP重定向报文。

"EnableICMPRedirects"=dword:00000000

'不允许释放NETBIOS名。当攻击者发出查询服务器NETBIOS名的请求时，可以使服务器禁止响应。

'注意系统必须安装SP2以上

"NoNameReleaseOnDemand"=dword:00000001

'发送验证保持活动数据包。该选项决定TCP间隔多少时间来确定当前连接还处于连接状态，

'不设该值，则系统每隔2小时对TCP是否有闲置连接进行检查，这里设置时间为5分钟。

"KeepAliveTime"=dword:000493e0

'禁止进行最大包长度路径检测。该项值为1时，将自动检测出可以传输的数据包的大小，

'可以用来提高传输效率，如出现故障或安全起见，设项值为0，表示使用固定MTU值576bytes。

"EnablePMTUDiscovery"=dword:00000000

'启动syn攻击保护。缺省项值为0，表示不开启攻击保护，项值为1和2表示启动syn攻击保护，设成2之后

'安全级别更高，对何种状况下认为是攻击，则需要根据下面的TcpMaxHalfOpen和TcpMaxHalfOpenRetried值

'设定的条件来触发启动了。这里需要注意的是，NT4.0必须设为1，设为2后在某种特殊数据包下会导致系统重启。

"SynAttackProtect"=dword:00000002

'同时允许打开的半连接数量。所谓半连接，表示未完整建立的TCP会话，用netstat命令可以看到呈SYN_RCVD状态

'的就是。这里使用微软建议值，服务器设为100，高级服务器设为500。建议可以设稍微小一点。

"TcpMaxHalfOpen"=dword:00000064

'判断是否存在攻击的触发点。这里使用微软建议值，服务器为80，高级服务器为400。

"TcpMaxHalfOpenRetried"=dword:00000050

'设置等待SYN-ACK时间。缺省项值为3，缺省这一过程消耗时间45秒。项值为2，消耗时间为21秒。

'项值为1，消耗时间为9秒。最低可以设为0，表示不等待，消耗时间为3秒。这个值可以根据遭受攻击规模修改。

'微软站点安全推荐为2。

"TcpMaxConnectResponseRetransmissions"=dword:00000001

'设置TCP重传单个数据段的次数。缺省项值为5，缺省这一过程消耗时间240秒。微软站点安全推荐为3。

"TcpMaxDataRetransmissions"=dword:00000003

'设置syn攻击保护的临界点。当可用的backlog变为0时，此参数用于控制syn攻击保护的开启，微软站点安全推荐为5。

"TCPMaxPortsExhausted"=dword:00000005

'禁止IP源路由。缺省项值为1，表示不转发源路由包，项值设为0，表示全部转发，设置为2，表示丢弃所有接受的

'源路由包，微软站点安全推荐为2。

"DisableIPSourceRouting"=dword:0000002

'限制处于TIME_WAIT状态的最长时间。缺省为240秒，最低为30秒，最高为300秒。建议设为30秒。

"TcpTimedWaitDelay"=dword:0000001e

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters]

'增大NetBT的连接块增加幅度。缺省为3，范围1-20，数值越大在连接越多时提升性能。每个连接块消耗87个字节。

"BacklogIncrement"=dword:00000003

'最大NetBT的连接快的数目。范围1-40000，这里设置为1000，数值越大在连接越多时允许更多连接。

"MaxConnBackLog"=dword:000003e8

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Afd\Parameters]

'配置激活动态Backlog。对于网络繁忙或者易遭受SYN攻击的系统，建议设置为1，表示允许动态Backlog。

"EnableDynamicBacklog"=dword:00000001

'配置最小动态Backlog。默认项值为0，表示动态Backlog分配的自由连接的最小数目。当自由连接数目

'低于此数目时，将自动的分配自由连接。默认值为0，对于网络繁忙或者易遭受SYN攻击的系统，建议设置为20。

"MinimumDynamicBacklog"=dword:00000014

'最大动态Backlog。表示定义最大"准"连接的数目，主要看内存大小，理论每32M内存最大可以

'增加5000个，这里设为20000。

"MaximumDynamicBacklog"=dword:00002e20

'每次增加的自由连接数据。默认项值为5，表示定义每次增加的自由连接数目。对于网络繁忙或者易遭受SYN攻击

'的系统，建议设置为10。

"DynamicBacklogGrowthDelta"=dword:0000000a

====================================================

以上存为.reg后即可直接导入.

当然可以在里面相应的添加其他设置进行一次性修改注册表.如:

'关闭445端口

"SMBDeviceEnabled"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\Parameters]

'禁止C$,D$一类的共享

"AutoShareServer"=dword:00000000

'禁止ADMIN$缺省共享

"AutoShareWks"=dword:00000000

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]

'限制IPC$缺省共享

"restrictanonymous"=dword:00000000

---