搜索

[19320] 2018-05-24_Windows日志审计

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-05-24_Windows日志审计 W i n d o w s 日 志 审 计 i 春 秋   2 0 1 8 - 0 5 - 2 4 作 者 ： w o l a i k a n k a n i 春 秋 社 区 一 、 前 言 一 、 前 言 在 应 急 响 应 过 程 中 ， 日 志 是 我 们 首 选 需 要 调 取 的 重 要 材 料 信 息 之 一 ， 通 过 日 志 我 们 可 以 大 概 的 快 速 还 原 出 攻 击 者 的 攻 击 手 法 ， 并 且 通 过 日 志 文 件 找 出 攻 击 入 口 点 ， 从 而 准 确 及 时 堵 住 攻 击 入 口 并 且 修 复 安 全 缺 陷 保 障 公 司 业 务 及 产 品 安 全 。 这 篇 文 章 主 要 涉 及 W i n d o w s 平 台 下 的 日 志 审 计 以 及 分 析 。 本 文 首 先 介 绍 一 下 W i n d o w s 日 志 的 基 本 知 识 ， 然 后 再 讨 论 如 何 高 效 的 分 析 W i n d o w s 下 大 量 的 系 统 日 志 。 二 、 二 、 W i n d o w s 日 志 基 础 日 志 基 础 本 文 以 W i n d o w s   s e r v e r   2 0 0 3 为 例 ， 探 讨 W i n d o w s 日 志 审 计 。 W i n d o w s 系 统 中 的 日 志 包 括 ： A p p l i c a t i o n 、 s e c u r i t y 、 s y s t e m 。 其 中 A p p l i c a t i o n 部 分 主 要 记 录 的 是 应 用 程 序 在 系 统 中 产 生 的 事 件 信 息 ， 而 s y s t e m 部 分 主 要 记 录 w i n d o w s 系 统 组 件 产 生 的 事 件 ， 主 要 包 括 驱 动 程 序 、 系 统 组 件 、 应 用 程 序 错 误 信 息 等 ， s e c u r i t y 主 要 记 录 系 统 的 安 全 信 息 ， 包 括 成 功 的 登 陆 、 退 出 ， 不 成 功 的 登 陆 ， 系 统 文 件 的 创 建 、 删 除 、 更 改 ， 需 要 指 明 的 是 安 全 日 志 只 有 系 统 管 理 员 才 可 以 访 问 ， 这 也 体 现 了 在 大 型 系 统 中 安 全 的 重 要 性 。 其 中 这 三 种 类 型 的 日 志 文 件 存 放 于 S y s t e m 3 2 c o n f i g 目 录 下 ， 分 别 为 ： A p p E v e n t . E v t 、 S e c E v e n t . E v t 、 S y s E v e n t . E v t 如 果 需 要 查 看 这 些 文 件 ， 可 以 通 过 W i n d o w s 自 带 的 事 件 查 看 器 来 查 看 。
双 击 某 条 可 以 查 看 详 细 信 息 。 例 如 我 们 查 看 某 一 条 登 陆 / 注 销 的 日 志 。 可 以 看 到 登 陆 的 详 细 信 息 ： 登 陆 时 间 、 用 户 、 源 网 络 地 址 等 。 有 时 候 ， 系 统 中 可 能 积 压 了 很 多 日 志 ， 量 大 ， 这 个 时 候 如 果 一 条 一 条 的 找 那 么 会 耗 费 很 多 时 间 ， 我 们 可 以 通 过 时 间 查 看 器 提 供 的 “ 查 找 ” 功 能 来 进 行 过 滤 。
在 W i n d o w s   s e r v e r   2 0 0 3 默 认 的 策 略 中 ， 记 录 的 信 息 并 不 是 特 别 的 详 细 ， 作 为 服 务 器 来 说 我 们 需 要 更 详 尽 的 日 志 信 息 ， 这 个 时 候 我 们 就 需 要 对 日 志 策 略 进 行 配 置 ， 那 么 在 哪 里 配 置 呢 ？ 这 个 时 候 就 用 上 “ 本 地 安 全 策 略 ” 这 个 功 能 了 。 打 开 “ 本 地 安 全 策 略 ” - - - “ 本 地 策 略 ” - - - “ 审 核 策 略 ” 可 以 看 到 目 前 的 配 置 如 下 ： 当 前 策 略 配 置 只 会 记 录 登 录 成 功 的 记 录 而 并 不 会 记 录 登 录 失 败 ， 同 时 也 不 会 记 录 目 录 服 务 访 问 的 记 录 。 在 服 务 器 安 全 配 置 中 ， 推 荐 开 启 登 录 失 败 记 录 ， 如 果 服 务 器 在 域 内 同 时 建 议 开 启 审 核 目 录 服 务 访 问 的 成 功 和 失 败 记 录 。 因 为 有 些 恶 意 的 攻 击 者 会 尝 试 对 服 务 器 进 行 账 号 密 码 爆 破 ， 会 有 很 多 的 登 录 失 败 的 记 录 ， 这 样 我 们 可 以 通 过 日 志 中 的 失 败 记 录 来 判 断 是 否 存 在 被 实 施 过 爆 破 。
以 上 ， 我 们 简 单 的 了 解 了 W i n d o w s 系 统 下 日 志 分 析 的 基 础 知 识 ， 通 过 这 种 方 式 对 于 日 志 量 较 小 的 场 景 来 说 没 什 么 问 题 ， 但 是 如 果 日 志 量 过 大 仅 通 过 这 种 手 工 方 式 效 率 则 较 低 ， 这 就 引 入 了 一 款 W i n d o w s 下 的 日 志 分 析 工 具 — — L o g P a r s e r 。 三 、 三 、 L o g P a r s e r 简 介 简 介 首 先 ， L o g P a r s e r 是 一 款 基 于 命 令 行 的 工 具 ， 它 是 由 微 软 的 G a b r i e l e   G i u s e p p i n i 开 发 的 所 以 目 前 只 有 W i n d o w s 版 本 。 L o g P a r s e r 所 支 持 的 格 式 有 ： 那 么 ， L o g P a r s e r 内 部 到 底 是 怎 样 的 一 种 结 构 ， 它 处 理 数 据 的 流 程 又 是 什 么 样 的 呢 ？ L o g P a r s e r 的 架 构 图 如 下 ： 我 简 化 了 一 下 ， 如 下 ： 首 先 输 入 各 种 L o g P a r s e r 支 持 的 日 志 格 式 ， 然 后 经 过 类 S Q L 引 擎 处 理 之 后 可 以 输 出 各 种 格 式 。 对 于 应 急 响 应 的 日 志 分 析 来 说 ， 我 们 的 目 标 就 是 找 出 攻 击 点 ， 所 以 我 们 关 注 的 范 围 和 运 维 所 关 注 的 不 同 ， 我 们 只 需 要 提 取 其 中 关 于 攻 击 的 部 分 ， 因 此 我 们 用 的 最 多 的 是 利 用 其 中 的 S Q L 引 擎 来 提 取 出 我 们 关 注 的 信 息 即 可 。 四 、 利 用 四 、 利 用 L o g P a r s e r 分 析 分 析 W i n d o w s 日 志 日 志 使 用 的 基 本 语 法 ：
l o g p a r s e r   < o p t i o n s >   < S Q L   e x p r e s s i o n > 可 以 通 过 ： - h   参 数 获 取 更 多 帮 助 ， 也 可 以 阅 读 帮 助 文 档 获 取 详 细 帮 助 内 容 。 假 设 场 景 ： 发 现 公 司 提 供 I I S 服 务 的 某 台 服 务 器 被 黑 客 植 入 了 w e b s h e l l ， 通 过 安 全 工 程 师 排 查 ， 发 现 w e b s h e l l 为 ： s h e l l . a s p x ， 那 么 使 用 l o g p a r s e r 进 行 s h e l l 活 动 轨 迹 提 取 。 l o g p a r s e r   - i : I I S W 3 C   - q   " S E L E C T   d a t e ,   t i m e   F R O M   * . l o g   W H E R E   c s - u r i - s t e m   L I K E   ' % s h e l l . a s p x '   O R D E R   B Y   d a t e ,   t i m e ; " 就 可 以 快 速 提 取 出 所 有 该 s h e l l 的 操 作 历 史 行 为 。 如 果 需 要 还 原 攻 击 者 的 攻 击 过 程 ， 可 以 利 用 l o g p a r s e r 提 供 的 查 询 功 能 再 加 上 一 些 安 全 规 则 对 日 志 进 行 匹 配 就 可 以 快 速 的 了 解 到 攻 击 者 的 整 个 攻 击 过 程 。 当 然 这 个 结 果 的 准 确 性 取 决 于 你 的 规 则 库 是 否 强 大 。 L o g P a r s e r 不 仅 支 持 本 地 日 志 文 件 的 分 析 ， 同 时 它 还 支 持 对 远 程 U R L 以 及 远 程 主 机 的 日 志 进 行 分 析 。 例 如 我 们 想 分 析 ： h t t p : / / x x x . x x x . c o m / i i s . l o g 这 个 日 志 ， 那 么 只 需 要 执 行 ： L o g p a r s e r   “ s e l e c t   *   f r o m   [ u r l ] h t t p : / / x x x . x x x . c o m / i i s . l o g [ / u r l ] ” （ 得 到 结 果 的 速 度 和 你 的 网 络 环 境 以 及 目 标 服 务 器 的 内 存 状 况 有 关 ） （ 得 到 结 果 的 速 度 和 你 的 网 络 环 境 以 及 目 标 服 务 器 的 内 存 状 况 有 关 ） 如 果 是 内 网 环 境 的 话 还 O K ， 但 是 如 果 外 网 环 境 那 推 荐 把 日 志 文 件 下 载 回 本 地 进 行 分 析 ， 分 析 的 语 法 还 是 和 本 地 分 析 语 法 一 样 。 同 时 ， 该 工 具 还 支 持 查 看 远 程 服 务 器 的 系 统 日 志 。 l o g p a r s e r   " s e l e c t   *   f r o m   1 9 2 . 1 6 8 . 1 7 4 . 1 3 4 A p p l i c a t i o n " 既 可 以 看 到 1 9 2 . 1 6 8 . 1 7 4 . 1 3 4 服 务 器 中 的 系 统 日 志 ， 同 样 查 询 语 法 也 和 本 地 查 询 语 法 相 同 。 这 个 功 能 相 对 来 说 还 是 比 较 强 大 的 ， 不 需 要 进 服 务 器 导 出 日 志 ， 只 需 要 有 地 址 及 账 号 就 可 以 了 。 L o g p a r s e r 还 提 供 了 插 件 以 及 接 口 的 功 能 ， 借 助 该 工 具 提 供 的 接 口 能 够 自 定 义 日 志 的 输 入 、 输 出 格 式 ， 还 可 以 使 用 C # 等 编 程 语 言 对 其 功 能 进 行 二 次 开 发 。 以 下 是 一 个 简 单 的 C # 代 码 示 例 ：
唯 一 需 要 注 意 的 地 方 就 是 需 要 一 个 I n t e r o p . M S U t i l . d l l 文 件 ， 首 先 安 装 l o g p a r s e r 然 后 找 到 安 装 目 录 下 的 L o g P a r s e r . d l l 文 件 ， 然 后 执 行 ： t l b i m p   L o g P a r s e r . d l l   / o u t : I n t e r o p . M S U t i l . d l l 就 可 以 得 到 该 就 可 以 得 到 该 d l l 文 件 。 文 件 。 五 、 结 语 五 、 结 语 W i n d o w s 在 运 行 的 过 程 中 会 产 生 许 多 不 同 类 型 的 日 志 ， 不 仅 仅 包 括 文 中 所 描 述 的 那 几 种 ， 同 时 还 有 数 据 库 日 志 以 及 各 种 应 用 程 序 所 产 生 的 日 志 等 。 在 应 急 响 应 的 过 程 中 我 们 需 要 调 取 服 务 器 以 及 安 全 设 备 中 的 各 种 不 同 类 型 日 志 以 及 记 录 ， 本 文 没 有 一 一 包 括 ， 但 是 其 分 析 的 总 体 方 法 以 及 思 路 都 是 大 同 小 异 ， 我 们 应 该 把 握 总 体 的 思 路 ， 这 样 不 管 是 W i n d o w s 下 的 日 志 审 计 还 是 L i n u x 下 的 日 志 审 计 我 们 都 可 以 轻 松 驾 驭 。 编 辑 ： 咕 嘟 嘟 责 任 编 辑 ： 小 南 瓜 校 对 ： 小 林 龙 马 、 山 雾 草 野 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 戳 阅 读 原 文 ， 跟 作 者 进 行 深 度 交 流 吧 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理