安全技术交流-应急响应之日志分析.pptxVIP

安全技术交流应急响应之日志分析魔方安全

?日志类型?日志分析?实战案例

11常见日志类型

/var/log/messages记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该文件获得相关的事件记录信息/var/log/cron记录crond计划任务产生的事件消息/var/log/secure记录验证与授权信息。例如sshd会将所有信息记录在此/var/log/lastlog记录系统中所有用户最后一次登录的日志，此文件是二进制文件，不能直接cat、vi查看，需要使用lastlog命令查看/var/log/utmp记录当前登录的每个用户的详细信息，此文件是二进制文件，不能直接cat、vi查看，需要使用w，who命令查看/var/log/wtmp永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。此文件是二进制文件，不能直接cat、vi查看，需要使用last命令查看Linux系统日志

Windows系统日志默认存放路径C:\Windows\System32\Winevt\Logs

中间件日志中间件日志路径常用日志Tomcat安装目录下logs文件夹localhost_access_logApache通过httpd.conf查看access.logWeblogic安装目录下user_projects/domains/server文件夹下access.logIIS默认C:\inetpub\logs\LogFilesNginx通过nginx.conf查看access.log

22日志分析黑客入侵的各个阶段该如何分析相关日志

黑客入侵攻击链日志分析

SSH暴力破解日志分析

SSH暴力破解日志分析暴力破解时/var/log/secure日志中的体现。大量的“Failedpassword”

SSH暴力破解日志分析grepFailedpasswordforroot/var/log/secure|awk{print$11}|sort|uniq-c|sort-nr定位爆破root用户的ip地址与对应次数

grepAccepted/var/log/secure|awk{print$11}|sort|uniq-c|sort-nr|more定位成功登录的ip定位爆破用户名字典及相应次数grepinvalid/var/log/secure|grep-verror|grep-vprea|awk{print$11}|uniq-c

Webshell入侵日志分析

Webshell入侵日志分析Webshell查找开源免费工具：河马webshell查杀，支持linux、windows本地查杀，在线查杀。

Webshell入侵日志分析Webshell查找日志中查找webshell文件的访问记录，查找返回状态码为200的请求

结合时间与IP的关联分析日志分析

日志分析工具-Linux日志分析日志分割shell命令split-b,按大小进行切分。可以指定单位BB,KB,MB。-l,按行数进行切分。-d,使用数字后缀。-a,指定后缀的长度。

日志分析工具-Linux日志分析日志格式化输出shell命令awk-F指定分隔符号{print$n}以指定分隔符号输出指定第n项。输出access日志中访问时间、请求方式、访问路径、状态码、返回长度字段：

日志分析工具-Linux日志分析日志输出排序去重Shell命令sort-n依照数值的大小排序。-c检查文件是否已经按照顺序排序。-r以相反的顺序来排序。-m将几个排序好的文件进行合并Shell命令uniq-c或--count在每列旁边显示该行重复出现的次数。-d或--repeated仅显示重复出现的行列。-u或--unique仅显示出一次的行列。

日志分析工具-Linux日志分析获取日志中访问最多的ip地址及访问次数

日志分析工具-Windows日志分析LogparserLogParser（是微软公司出品的日志分析工具，它功能强大，使用简单，可以分析基于文本的日志文件、XML文件、CSV（逗号分隔符）文件，以及操作系统的事件日志、注册表、文件系统、ActiveDirectory。它可以像使用SQL语句一样查询分析这些数据，甚至可以把分析结果以各种图表的形式展现出来。Logparser–i:输入日志格式–o:输出日志格式“SQL语句”基本查询结构

日志分析工具-Windows日志分析LogparserLizardLogparserLizard是GUI版的logpars