日志分析在计算机取证中的应用.pdfVIP

164 福建 电脑 2006年第7期 日志分析在计算机取证中的应用 王彩玲 (河南公安高等专科学校信息安全系河南郑州450002) 【摘 要】：日志对于系统的安全来说非常重要。它记录了系统每天发生的各种各样的事情，用户可以通过它来检查错误 发生的原因。或者寻找受到攻击时攻击者留下的痕迹。日志主要的功能是审计和监测。它还可以实时地监测系统状态，监测 和追踪侵入者。本文从操作系统和网络两方面对日志分析在计算机取证中的应用作简单阐述，意在抛砖引玉使大家能重视 日志分析的作用。 【关键词】：日志分析计算机取证 伴随着信息技术的飞速发展和数字化时代的到来．我们在 核事件记录下来。“失败审核”访问审核失败。例如如果用户试图 日常生活、学习、工作中无时无刻不深切地体会到互联网给我们 访问网络驱动器失败。该尝试就会作为失败审核事件记录下来。 所带来的巨大影响。企业上网实现电子商务．拓展内外部经营活 注意启动系统时事件日志服务会自动启动．所有用户都可 动，互通商机，最终提高经济效益。增强竞争能力。校园上网实现 以查看应用程序日志和系统日志．但是只有管理员才能访问安 电子教学，共享网上教育资源。实现网上教学资源的合理管理． 全日志。默认情况下会关闭安全日志，所以管理员要记住设定启 网上应用资源的统一管理。政府上网实现电子政务．提高运作效 用。管理员既可以使用组策略启用安全日志记录。也可以在注册 率，加强信息沟通。我们共同的目标是互联网资源的创造和运 表中设置策略使系统在安全日志装满时停止运行。 用。但在体会到网络的方便和快捷的同时．我们也时时刻刻都在 hnu删ni】【系统一般也有3个主要的日志子系统：连接时 面对着计算机犯罪的威胁。如何搜集计算机犯罪的证据，有效地 问日志、进程统计日志和错误日志。 打击犯罪，是摆在我们面前的新的问题。日志分析就是解决这一 1)连接时间日志——连接时间日志由多个程序执行。把记 问题的一种重要方法． 所谓日志分析，就是确定一些紧要的事件记录，加以规范、 和utIllp文件，使系统管理员能够跟踪谁在何时登录到系统。 整合、分析、关联及做出适当的追踪、调查及应对措施。 2)进程统计日志——进程统计日志由系统内核执行。当一 1．基于操作系统的日志分析 在Windows操作系统中。有三个相互独立的日志文件：系统一个记录。进程统计的目的是为系统中的基本服务提供命令使 日志、应用程序日志、安全日志。 用统计。 1)系统日志——记录系统进程和设备驱动程序的活动。它 审核的系统事件包括启动失败的设备驱动程序、硬件错误、重复 的IP地址，以及服务的启动、暂停和停止。系统日志包含由系统 告值得注意的事件。另外还有许多UNIX类程序创建日志，像 组件记录的事情。例如．在系统日志中记录启动期间要加载的驱 册和兀P这样提供网络服务的服务器也有详细的日志。 动程序或其他系统组件的故障．比如启动时某个驱动程序加载 对于Ijnux系统也有专门的日志分析和查看工具．如 失败等。 2)砬用程序日志——包括关于用户程序和商业通用应用 滤出有潜在安全风险或其他不正常情况的日志项目．然后以电 程序的运行方面的错误活动．它审核的应用程序事件包括所有 子邮件的形式通知指定的用户。 错误或应用程序需要报告的信息。比如失败登录的次数、硬盘使 基于操作系统的日志分析．主要依据操作系统内的日志功 用的情况和其它重要的指针等。 能．利用分析工具找出不合理的事件记载。例如：用户在非常规 3)安全日志——安全日志通常是在应急响应调查阶段最 的时间登录：不正常的日志记录。比如日志的残缺不全或者是无 有用的日志。调查员必须仔细浏览和过滤这些日志的输出．以识 故地缺少了中间的记录文件：用户登录系统的IP地址和以往的 别它们包含的证据。安全日志主要用于管理员记载用户登录上 不一样；用户登录失败的日志记录。尤其是那些一再连续尝试进 网的情况。在安全日志中可以找到它使用的系统审核和安全处 入失败的日志记录：非法使用或不正当使用超级用户权限的指