搜索

[950] 2019-11-14_使用ELK分析Windows事件日志

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-11-14_使用ELK分析Windows事件日志 使 用 E L K 分 析 W i n d o w s 事 件 日 志 原 创   B y p a s s   B y p a s s   2 0 1 9 - 1 1 - 1 4 这 是 E L K 入 门 到 实 践 系 列 的 第 三 篇 文 章 ， 分 享 如 何 使 用 E L K 分 析 W i n d o w s 事 件 日 志 。 W i n d o w s 系 统 日 志 是 记 录 系 统 中 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 同 时 还 可 以 监 视 系 统 中 发 生 的 事 件 。 用 户 可 以 通 过 它 来 检 查 错 误 发 生 的 原 因 ， 或 者 寻 找 受 到 攻 击 时 攻 击 者 留 下 的 痕 迹 。 在 本 文 ， 通 过 E L K   安 全 分 析 的 视 角 ， 我 们 将 能 够 检 测 异 常 的 登 录 行 为 和 不 常 见 的 可 疑 进 程 。 本 系 列 文 章 前 文 欣 赏 ： （ 1 ） ： 通 过 r s y s l o g 搭 建 集 中 日 志 服 务 器 （ 2 ） ： 使 用 E L K 实 时 分 析 S S H 暴 力 破 解 W i n l o g b e a t 使 用 W i n l o g b e a t 将 W i n d o w s 事 件 日 志 流 传 输 到 E l a s t i c s e a r c h 。 W i n l o g b e a t   通 过 标 准 的   w i n d o w s   A P I   获 取   w i n d o w s   系 统 日 志 ， 常 见 的 有 A p p l i c a t i o n ， S e c u r i t y   、 S y s t e m 三 个 核 心 日 志 文 件 。 w i n l o g b e a t   配 置 如 下 ： 步 骤 一 ： 步 骤 一 ： 安 装 安 装 W i n l o g b e a t 1 、 下 载 并 解 压 缩 W i n l o g b e a t 下 载 地 址 ： h t t p s : / / a r t i f a c t s . e l a s t i c . c o / d o w n l o a d s / b e a t s / w i n l o g b e a t / w i n l o g b e a t - 7 . 4 . 2 - w i n d o w s - x 8 6 _ 6 4 . z i p
2 、 安 装 W i n l o g b e a t 服 务 以 管 理 员 身 份 打 开 P o w e r S h e l l ， 在 P o w e r S h e l l 提 示 符 下 ， 运 行 以 下 命 令 以 安 装 服 务 。 如 果 在 系 统 上 禁 用 了 脚 本 执 行 ， 则 需 要 为 当 前 会 话 设 置 执 行 策 略 以 允 许 脚 本 运 行 。 例 如 ： 步 骤 二 ： 步 骤 二 ： 配 置 配 置 W i n l o g b e a t 修 改     以 设 置 连 接 信 息 ： c d   " C : P r o g r a m   F i l e s （ x 8 6 ） W i n l o g b e a t " . i n s t a l l - s e r v i c e - w i n l o g b e a t . p s 1 P o w e r S h e l l . e x e   - E x e c u t i o n P o l i c y   U n R e s t r i c t e d   - F i l e   . i n s t a l l - s e r v i c e - w i n l o g b e a t . p s 1 。 C : P r o g r a m   F i l e s W i n l o g b e a t w i n l o g b e a t . y m l # - - - - - - - - - - - - - - - - - - - - - - - - - -   E l a s t i c s e a r c h   o u t p u t   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - o u t p u t . e l a s t i c s e a r c h :     #   A r r a y   o f   h o s t s   t o   c o n n e c t   t o .     h o s t s :   [ " l o c a l h o s t : 9 2 0 0 " ]
填 写 要 输 出 到 e s 的 地 址 ， 保 存 配 置 文 件 后 ， 使 用 以 下 命 令 检 查 配 置 文 件 的 正 确 性 ： 步 骤 三 ： 步 骤 三 ： 启 动 启 动   W i n l o g b e a t 使 用 以 下 命 令 启 动 W i n l o g b e a t 服 务 使 用 以 下 命 令 停 止 W i n l o g b e a t 服 务 ： 安 装 部 署 E S 1 、 安 装 2 、 配 置 3 、 启 动 E S 基 于 E L K 的 S I E M K i b a n a 中 的 S I E M 应 用 程 序 为 安 全 分 析 提 供 了 一 个 交 互 式 工 作 区 ， 可 以 分 析 主 机 相 关 和 网 络 相 关 的 安 全 事 件 。 创 建 索 引 ， 在 S I E M 界 面 ， 可 以 查 到 通 过 W i n l o g b e a t 从 W i n d o w s 事 件 日 志 提 取 主 机 事 件 。     h o s t s :   [ " l o c a l h o s t : 9 2 0 0 " ]     #   O p t i o n a l   p r o t o c o l   a n d   b a s i c   a u t h   c r e d e n t i a l s .     # p r o t o c o l :   " h t t p s "     # u s e r n a m e :   " e l a s t i c "     # p a s s w o r d :   " c h a n g e m e " w i n l o g b e a t . e x e   t e s t   c o n f i g   - w i n l o g b e a t . y m l   - e S t a r t - S e r v i c e   w i n l o g b e a t S t o p - S e r v i c e   w i n l o g b e a t y u m   - y   i n s t a l l   e l a s t i c s e a r c h c d   / e t c / e l a s t i c s e a r c h / v i     e l a s t i c s e a r c h . y m l             n e t w o r k . h o s t :   0 . 0 . 0 . 0         h t t p . p o r t :   9 2 0 0 / b i n / s y s t e m c t l   d a e m o n - r e l o a d s y s t e m c t l   s t a r t   e l a s t i c s e a r c h
点 击 查 看 主 机 ， 在 主 机 界 面 ， 可 以 查 看 安 全 分 析 得 到 的 结 果 ， 共 包 含 五 部 分 信 息 。 第 一 部 分 ， 接 入 日 志 的 主 机 数 量 ， 用 户 身 份 验 证 情 况 ， 用 户 访 问 I P 等 汇 总 信 息 。 第 二 部 分 ， 接 入 日 志 的 所 有 主 机 ， 包 含 主 机 名 、 最 后 看 到 事 件 、 O S 类 型 及 版 本 。 第 三 部 分 ， 显 示 登 录 成 功 和 失 败 的 用 户 名 、 次 数 、 登 录 时 间 等 信 息 。
第 四 部 分 ， 显 示 不 常 见 的 进 行 ， 包 含 进 程 名 ， 主 机 数 目 ， 命 令 及 用 户 等 信 息 。 第 五 部 分 ， 显 示 所 有 的 安 全 事 件 ， 包 含 时 间 戳 、 主 机 名 、 日 志 类 型 、 用 户 、 源 、 消 息 等 信 息 。 结 语 在 本 文 ， 基 于 E l a s t i c   S t a c k 的 S I E M ， 展 现 了 强 大 的 安 全 事 件 分 析 的 能 力 ， 通 过 W i n l o g b e a t 收 集 W i n d o w s 事 件 日 志 ， 以 E l a s t i c s e a r c h 的 速 度 进 行 安 全 分 析 ， 使 用 K i b a n a 中 的 S I E M 应 用 程 序 浏 览 安 全 数 据 ， 以 快 速 检 测 和 响 应 安 全 事 件 。 当 然 ， 不 只 是 W i n d o w s 事 件 日 志 ， 借 助 B e a t s 可 以 从 任 何 你 想 要 的 地 方 提 取 数 据 ， 如 审 核 事 件 、 认 证 日 志 、 D N S 流 量 、 网 络 流 等 。 这 只 是 初 步 的 探 索 ， 如 何 更 好 的 使 用 E l a s t i c   S I E M 去 发 现 并 解 决 安 全 问 题 ， 才 是 我 们 接 下 来 要 深 究 的 方 向 。 在 学 习 ， 也 一 直 在 路 上 ， 加 油 ！
有 任 何 问 题 请 关 注 个 人 公 众 号 留 言 ， 我 是 B y p a s s ， 欢 迎 探 讨 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理