护网蓝队日志分析
Windows日志分析一、变乱查察器
在「变乱查察器」中，可以查察体系中纪录的全部变乱日志。利用步调如下：
1、打开 Windows 变乱查察器
1、利用Windows + R快捷键打开「运行」对话框，输入eventvwr.msc，然后按回车键打开变乱查察器。
2、在左侧导航栏，睁开「Windows 日志」。
3、选择你想要查察的日志种别。
2、欣赏变乱日志
1、在变乱查察器的左侧导航栏中，睁开「Windows 日志」。
2、你会看到多个日志种别，如「应用步调」、「体系」、「安全」等。选择你想要查察的日志种别。
3、过滤变乱
假如日志太多，可以利用过滤器来快速筛选有用信息：
1、在右侧窗格中，点击「筛选当前日志」。
2、根据必要选择过滤条件，比方：
[*]纪录时间：变乱发生的时间范围。
[*]变乱级别：变乱的严肃程度，比方信息、告诫或错误等。
[*]变乱 ID：指定变乱的代码（Event ID）。
3、点击「确定」应用过滤器。
4、创建和管理自界说视图
假如你要连续关注某个题目，又不想重复设置筛选条件，可以创建一个自界说视图：
1、在右侧窗格中，点击「创建自界说视图」。
2、在「按日志」的下拉列表中，勾选要关
3、选择「变乱级别」，点击「确定」。
4、为自界说视图定名，再次点击 确定。
[*]假如必要调解自界说视图的筛选条件：可以右键点击该视图，选择「属性」>「编辑筛选器」举行修改。
[*]当不再必要某个自界说视图时：可以右键点击该视图，选择「删除」即可轻松移除。
二、Windows 变乱日志的范例和种别
1、变乱日志范例
根据变乱的紧张性，变乱日志可以分为以下5 种范例：
变乱范例形貌严肃程度示例信息纪录正常运行的变乱低服务启动乐成告诫提示潜伏题目的变乱中等磁盘空间不敷错误表现出现严肃题目的变乱高体系瓦解考核乐成纪录安全考核乐成的变乱低乐成登录考核失败纪录安全考核失败过的变乱中等无法访问网络资源我们应该特殊关注「告诫」和「错误」范例的变乱日志，它们通常和体系故障精密干系。
2、变乱日志种别
变乱日志还根据泉源和内容分为以下几个种别：
变乱种别形貌示例应用步调纪录应用步调干系的变乱应用步调启动失败、应用步调瓦解安全纪录体系安全干系的变乱登录实验、文件访问、权限变更体系纪录体系内核、驱动步调等干系的变乱内核错误、硬件故障、服务启动失败安装纪录 Windows 组件、「Windows 更新」安装干系的变乱组件安装乐成、更新下载失败转发的变乱从其他装备转发过来的变乱日志长途服务器登录失败、网络毗连停止相识这些种别有助于在出现题目时敏捷定位干系日志，缩小排查范围。
三、变乱日志分析
变乱日志通常包罗以下这些信息：
日志名称：变乱所属的范例。
泉源：产生变乱的应用或组件。
变乱 ID：用于辨认具体变乱的编号。
级别：变乱的严肃程度，好比「信息」、「告诫」和「错误」等。
用户：变乱发生时的用户账户。
利用代码：也叫 OpCode，纪录触发变乱时所实行的利用。
纪录时间：变乱发生的具体时间。
使命种别：提供变乱更多细节的分类。
关键字：用于分类变乱的关键词，常见的有「经典」。
盘算机：纪录变乱的盘算机名称。
对于Windows变乱日志分析，差别的EVENT ID代表了差别的意义，摘录一些常见的安全变乱的分析：
变乱ID分析4624登录乐成4625登录失败4634注销乐成4647用户启动的注销4672利用超等用户（如管理员）举行登录4720创建用户每个乐成登录的变乱都会标志一个登录范例，差别登录范例代表差别的方式：
登录范例形貌分析2交互式登录（Interactive）用户在当地举行登录。3网络（Network）最常见的情况就是毗连到共享文件夹或共享打印机时。4批处置惩罚（Batch）通常表明某筹划使命启动。5服务（Service）每种服务都被设置在某个特定的用户账号下运行。7解锁（Unlock）屏保解锁。8网络明文（NetworkCleartext）登录的暗码在网络上是通过明文传输的，如FTP。9新根据（NewCredentials）利用带/Netonly参数的RUNAS下令运行一个步调。10长途交互（RemoteInteractive）通过终端服务、长途桌面或长途帮助访问盘算机。11缓存交互（CachedInteractive）以一个域用户登录而又没有域控制器可用2、日志分析工具
Log Parser、LogParser Lizard、Event Log Explorer
四、Linux日志分析
常见的日志文件
/var/log/dmesg
此处应为/var/log/dmesg或/var/log/messages（取决于Linux发行版），它纪录了内核在引导过程中或体系运行时的消息。
/var/log/auth.log
这个文件通常存在于Debian及其衍生版中，纪录了全部与身份验证和授权干系的消息。在其他Linux发行版中，这些信息大概纪录在/var/log/secure或/var/log/auth.log中。
/var/log/boot.log
纪录了体系启动过程的具体信息，包罗内核启动参数、服务启动次序和任何启动期间的错误消息。
/var/log/daemon.log
这个日志通常纪录背景服务（保卫历程）的运动。不外，在许多当代Linux体系中，服务日志通常会被分开纪录，而不是同一纪录在这个文件中。
/var/log/kern.log
纪录内核产生的日志信息，这些通常与体系的硬件交互、驱动步调以及内核模块有关。
/var/log/lastlog
纪录全部用户的迩来登录时间。这不是一个纯文本文件，但可以利用lastlog下令查察其内容。
/var/log/maillog 和 /var/log/mail.log
这些文件纪录了邮件服务器的运动，如发送、吸取邮件以及邮件传输署理（MTA）的状态和错误。
/var/log/user.log
这个日志通常不是标准的Linux日志文件。大概某些体系或应用自界说了这个名称来纪录用户级日志信息。
/var/log/Xorg.x.log
纪录X Window体系的日志信息，包罗图形界面初始化、设置错误以及运行时的题目。
/var/log/btmp
纪录失败的登录实验。可以利用lastb下令来查察这个文件的内容。
/var/log/yum.log
纪录了利用yum包管理器安装、更新或删除软件包时的运动。
/var/log/cron
纪录了cron保卫历程的运动，包罗定时使命的启动、错误和输出。
/var/log/secure
在Red Hat及其衍生版中，这个文件纪录了与安全干系的消息，如用户登录实验、sudo下令的利用等。
/var/log/wtmp 和 /var/log/utmp
wtmp纪录全部登录和注销变乱的汗青信息。utmp则包罗当前登录体系的用户信息，可以利用who和w下令查察。
/var/log/faillog
纪录失败的登录实验次数，通常用于监控账户安全。
/var/log/httpd/ 和 /var/log/apache2/
这些目次包罗了Web服务器（如Apache HTTP服务器）的访问日志、错误日志以及假造主机的日志。
/var/log/conman/
这个目次包罗与conman（控制台管理器）干系的日志，conman用于管理长途控制台毗连。
/var/log/mail/
这个子目次包罗邮件服务器产生的其他日志，如邮件统计信息。
/var/log/audit/
包罗Linux审计框架（auditd）的日志，用于纪录和监控与安全干系的体系调用和变乱。
/var/log/settroubleshoot/
SELinux利用这个日志纪录与文件安全上下文干系的题目。
/var/log/samba/
包罗与Samba服务干系的日志，Samba用于Windows和Linux之间的文件共享。
/var/log/sa/
包罗由sysstat包网络的逐日体系运动陈诉（通过sar下令天生）。
明确这些日志文件的内容和结构对于体系管理员和安全专家至关紧张，由于它们提供了关于体系康健状态、用户活动和潜伏威胁的名贵信息。
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]