搜索

[19775] 2021-06-29_应急响应系列：Windows日志使用

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-29_应急响应系列：Windows日志使用 应 急 响 应 系 列 ： W i n d o w s 日 志 使 用 i 春 秋   2 0 2 1 - 0 6 - 2 9 本 文 是   i   春 秋 论 坛 作 家 「 精 通 l i n u x 开 关 机 」 表 哥 分 享 的 技 术 文 章 ， 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 简 介 简 介 事 件 日 志 发 展 至 今 ， 在 W i n d o w s 网 络 操 作 系 统 ， 除 了 应 用 程 序 日 志 ， 安 全 日 志 、 系 统 日 志 、 S c h e d u l e r 服 务 日 志 ， 还 有 网 络 应 用 相 关 的   F T P 日 志 、 W W W 日 志 、 D N S 服 务 器 日 志 。 事 件 日 志 可 记 录 系 统 中 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 还 可 监 视 系 统 中 发 生 的 事 件 ， 记 录 敏 感 操 作 关 键 信 息 ， 有 助 于 提 高 系 统 的 网 络 安 全 性 ， 帮 助 系 统 安 全 工 作 人 员 找 到 安 全 事 件 的 根 本 原 因 。   事 件 查 看 器 事 件 查 看 器 事 件 查 看 器 ( e v e n t v w r . m s c ) 由 微 软 开 发 ， 内 置 于 M i c r o s o f t   W i n d o w s   N T 操 作 系 统 中 的 组 件 。 它 让 用 户 能 够 透 过 系 统 管 理 员 的 身 份 来 查 看 所 使 用 或 远 程 电 脑 的 所 有 事 件 。 W i n d o w s   V i s t a 中 的 事 件 查 看 器 则 重 新 设 计 过 。 W i n d o w s 主 要 有 以 下 三 类 日 志 记 录 系 统 事 件 ： 应 用 程 序 日 志 、 系 统 日 志 和 安 全 日 志 。 前 两 者 ， 存 储 着 故 障 排 除 信 息 ， 对 于 系 统 管 理 员 更 为 有 用 ； 后 者 ， 记 录 着 事 件 审 计 信 息 ， 包 括 用 户 验 证 （ 登 录 、 远 程 访 问 等 ） 和 特 定 用 户 在 认 证 后 对 系 统 做 了 什 么 ， 对 于 调 查 人 员 而 言 ， 更 有 帮 助 。      
1 、 系 统 日 志 、 系 统 日 志   系 统 日 志 记 录 操 作 系 统 组 件 产 生 的 事 件 ， 主 要 包 括 驱 动 程 序 、 系 统 组 件 和 应 用 软 件 的 崩 溃 以 及 数 据 丢 失 错 误 等 。 系 统 日 志 中 记 录 的 时 间 类 型 由 W i n d o w s   N T / 2 0 0 0 操 作 系 统 预 先 定 义 。 默 认 位 置 ：   % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S y s t e m . e v t x     2 、 应 用 程 序 日 志 、 应 用 程 序 日 志   应 用 程 序 日 志 包 含 由 应 用 程 序 或 系 统 程 序 记 录 的 事 件 ， 主 要 记 录 程 序 运 行 方 面 的 事 件 ， 例 如 数 据 库 程 序 可 以 在 应 用 程 序 日 志 中 记 录 文 件 错 误 ， 程 序 开 发 人 员 可 以 自 行 决 定 监 视 哪 些 事 件 。 如 果 某 个 应 用 程 序 出 现 崩 溃 情 况 ， 那 么 我 们 可 以 从 程 序 事 件 日 志 中 找 到 相 应 的 记 录 ， 也 许 会 有 助 于 你 解 决 问 题 。 默 认 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s A p p l i c a t i o n . e v t x 3 、 安 全 日 志 、 安 全 日 志 安 全 日 志 记 录 系 统 的 安 全 审 计 事 件 ， 包 含 各 种 类 型 的 登 录 日 志 、 对 象 访 问 日 志 、 进 程 追 踪 日 志 、 特 权 使 用 、 帐 号 管 理 、 策 略 变 更 、 系 统 事 件 。 安 全 日 志 也 是 调 查 取 证 中 最 常 用 到 的 日 志 。 默 认 设 置 下 ， 安 全 性 日 志 是 关 闭 的 ， 管 理 员 可 以 使 用 组 策 略 来 启 动 安 全 性 日 志 ， 或 者 在 注 册 表 中 设 置 审 核 策 略 ， 以 便 当 安 全 性 日 志 满 后 使 系 统 停 止 响 应 。 默 认 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S e c u r i t y . e v t x 4 、 审 核 设 置 建 议 、 审 核 设 置 建 议 从 W i n d o w s   1 0   版 本 1 8 0 9 开 始 ， 默 认 启 用 审 核 登 录 。 在 过 往 W i n d o w s 版 本 中 ， 默 认 仅 启 用 成 功 。 W i n d o w s   S e r v e r   2 0 1 6 ， W i n d o w s   S e r v e r   2 0 1 2   R 2 ， W i n d o w s   S e r v e r   2 0 1 2 ， W i n d o w s   S e r v e r   2 0 0 8   R 2 ， 在 默 认 状 态 下 并 未 启 用   ， 仅 记 录 一 些 简 单 的 日 志 ， 日 志 默 认 大 小 2 0 M 。 建 议 开 启 审 核 策 略 ， 若 日 后 系 统 出 现 故 障 、 安 全 事 故 则 可 查 看 系 统 的 日 志 文 件 ， 排 除 故 障 ， 追 查 入 侵 者 信 息 等 。
更 多 细 节 可 见 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s - s e r v e r / i d e n t i t y / a d - d s / p l a n / s e c u r i t y - b e s t - p r a c t i c e s / a u d i t - p o l i c y - r e c o m m e n d a t i o n s 5 、 启 用 审 核 配 置 、 启 用 审 核 配 置 W i n d o w s   S e r v e r   2 0 0 8 系 统 的 审 核 功 能 在 默 认 状 态 下 并 没 有 启 用 。 系 统 默 认 审 核 策 略 ， 如 下 图 所 示 ： 6 、 合 理 的 日 志 属 性 、 合 理 的 日 志 属 性 在 部 分 基 线 检 查 中 要 求 保 留 9 0 天 以 上 系 统 日 志 ， 这 些 日 志 可 为 日 后 系 统 故 障 排 除 故 障 、 安 全 事 故 追 查 入 侵 者 提 供 依 据 。 系 统 默 认 日 志 属 性 ， 如 下 图 所 示 ：
日 志 分 析 日 志 分 析 通 过 分 析 日 志 寻 找 入 侵 痕 迹 工 作 量 较 大 ， 掌 握 必 要 的 技 巧 较 为 关 键 。 过 滤 掉 许 多 毫 无 价 值 的 数 据 泥 潭 ， 有 助 于 快 速 定 位 入 侵 事 件 。 首 要 的 过 滤 依 据 是 E V E N T   I D ， 例 如 黑 客 对 系 统 进 行 R D P 爆 破 ， 系 统 将 在 安 全 日 志 里 记 录 探 测 者 探 测 时 所 用 的 I P 、 时 间 、 用 户 名 等 ， 在 安 全 日 志 中 以 E V E N T   I D = 4 6 2 5 进 行 查 看 事 件 属 性 。 查 看 事 件 属 性 ， 效 果 如 下 图 所 示 ： 常 用 作 快 速 定 位 的 事 件 I D 还 有 许 多 ， 以 下 表 格 是 常 用 的 事 件 说 明 ：
每 个 成 功 登 录 的 事 件 都 会 标 记 一 个 登 录 类 型 ， 不 同 登 录 类 型 代 表 不 同 的 方 式 ： 更 多 细 节 可 见 ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 9 7 7 5 1 9 / d e s c r i p t i o n - o f - s e c u r i t y - e v e n t s - i n - w i n d o w s - 7 - a n d - i n - w i n d o w s - s e r v e r - 2 0 0 8 快 速 提 取 关 键 事 件 ( 时 间 倒 叙 ) 可 用 p o w e r s h e l l 命 令 ： G e t - W i n E v e n t   - F i l t e r H a s h t a b l e   @ { L o g N a m e = ' S e c u r i t y ' ; I D = ' 4 6 2 4 ' }   以 及   G e t - W i n E v e n t   - F i l t e r H a s h t a b l e   @ { L o g N a m e = ' S e c u r i t y ' } 快 速 提 取 关 键 事 件 ， 效 果 如 下 图 所 示 ：
相 关 工 具 相 关 工 具 1 、 、 L o g   P a r s e r 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 2 4 6 5 9 使 用 示 例 ： h t t p s : / / m l i c h t e n b e r g . w o r d p r e s s . c o m / 2 0 1 1 / 0 2 / 0 3 / l o g - p a r s e r - r o c k s - m o r e - t h a n - 5 0 - e x a m p l e s / L o g   P a r s e r 由 微 软 公 司 出 品 ， 其 功 能 强 大 ， 使 用 简 单 ， 可 以 分 析 基 于 文 本 的 日 志 文 件 、 X M L     文 件 、 C S V （ 逗 号 分 隔 符 ） 文 件 ， 以 及 M i c r o s o f t   W i n d o w s 操 作 系 统 的 事 件 日 志 、 注 册 表 、 文 件 系 统 、 A c t i v e   D i r e c t o r y 。 L o g   P a r s e r   使 用   S Q L 语 法 查 询 分 析 日 志 ， 甚 至 可 以 把 分 析 结 果 以 各 种 图 表 的 形 式 展 现 出 来 。 基 本 查 询 结 构 分 析 日 志 ( 1 ) 查 询 登 录 成 功 的 事 件 L o g p a r s e r . e x e   – i : E V T   – o : D A T A G R I D   " S E L E C T   *   F R O M   . x x . e v t x "
查 询 登 录 成 功 的 事 件 ， 效 果 如 下 图 所 示 ： ( 2 ) 查 询 登 录 失 败 的 事 件 聚 合 统 计 登 陆 失 败 事 件 ， 效 果 如 下 图 所 示 ： 登 录 成 功 的 所 有 事 件 L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   r e c o r d n u m b e r , t i m e g e n e r a t e d , e v e n t i d , C o m p u t e r n a m e , E X T R A C T _ T O K E N ( M e s s a g e , 指 定 登 录 时 间 范 围 的 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   r e c o r d n u m b e r , t i m e g e n e r a t e d , e v e n t i d , C o m p u t e r n a m e , E X T R A C T _ T O K E N ( M e s s a g e , 提 取 登 录 成 功 的 用 户 名 和 I P ： L o g P a r s e r . e x e   - i : E V T     – o : D A T A G R I D     " S E L E C T   E X T R A C T _ T O K E N ( M e s s a g e , 1 3 , '   ' )   a s   E v e n t T y p e , T i m e G e n e r a t e d   a s   L o g i n T i m e , E X T R A C T _ T O K E N ( S t r i n g s , 登 录 失 败 的 所 有 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   r e c o r d n u m b e r , t i m e g e n e r a t e d , e v e n t i d , C o m p u t e r n a m e , E X T R A C T _ T O K E N ( M e s s a g e , 提 取 登 录 失 败 用 户 名 进 行 聚 合 统 计 ： L o g P a r s e r . e x e     - i : E V T   " S E L E C T     E X T R A C T _ T O K E N ( M e s s a g e , 1 3 , '   ' )     a s   E v e n t T y p e , E X T R A C T _ T O K E N ( M e s s a g e , 1 9 , '   ' )   a s
( 3 ) 系 统 历 史 开 关 机 记 录 查 询 开 关 机 事 件 ， 效 果 如 下 图 所 示 ： 2 、 、 L o g P a r s e r   L i z a r d 日 志 分 析 蜥 蜴 （ L o g P a r s e r   L i z a r d ） 带 图 形 界 面 ， 其 内 部 封 装 有 l o g P a r s e r 命 令 ， 这 使 得 操 作 更 为 简 单 ， 同 时 集 成 了 I n f r a g i s t i c s . U l t r a C h a r t . C o r e . v 4 . 3 、 I n f r a g i s t i c s . E x c e l . v 4 . 3 . d l l 等 ， 查 询 结 果 可 以 图 表 或 E X C E L 格 式 展 示 。 与 l o g P a r s e r 一 样 ， L o g P a r s e r   L i z a r d 可 对 服 务 器 日 志 ， 网 站 日 志 等 进 行 分 析 ， 支 持 基 于 文 本 的 日 志 文 件 ， X M L 文 件 等 内 容 。 日 志 分 析 蜥 蜴 下 载 地 址 ： h t t p s : / / l i z a r d - l a b s . c o m / l o g _ p a r s e r _ l i z a r d . a s p x L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   T i m e G e n e r a t e d , E v e n t I D , M e s s a g e   F R O M   . S y s t e m 1 . e v t x   w h e r e   E v e n t I D =
依 赖 包 F r a m e w o r k   4   . 5 ， 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 4 2 6 4 2 查 询 登 录 成 功 的 事 件 ， 效 果 如 下 图 所 示 ： 3 、 、 E v e n t   L o g   E x p l o r e r E v e n t   L o g   E x p l o r e r 是 一 款 非 常 好 用 的 W i n d o w s 日 志 分 析 工 具 。 可 用 于 查 看 ， 监 视 和 分 析 跟 事 件 记 录 ， 包 括 安 全 ， 系 统 ， 应 用 程 序 和 其 他 微 软 W i n d o w s   的 记 录 被 记 载 的 事 件 ， 其 强 大 的 过 滤 功 能 可 以 快 速 的 过 滤 出 有 价 值 的 信 息 。 E v e n t   L o g   E x p l o r e r 下 载 地 址 ： h t t p s : / / e v e n t - l o g - e x p l o r e r . e n . s o f t o n i c . c o m / 查 询 登 录 成 功 的 事 件 ， 效 果 如 下 图 所 示 ：
情 景 分 析 情 景 分 析 1 、 、 B a d U S B 在 一 些 近 源 渗 透 案 例 中 ， 攻 击 者 使 用 B a d U S B 对 公 司 员 工 的 B Y O D 进 行 攻 击 ， 对 这 类 攻 击 进 行 追 踪 需 要 着 重 关 注 硬 件 设 备 安 装 到 系 统 中 的 时 间 ， 展 开 追 逐 前 ， 确 保 审 核 策 略 已 正 确 配 置 。 有 几 个 事 件 I D 需 要 重 点 关 注 ： 查 询 在 系 统 中 历 史 安 装 U S B 设 备 事 件 ， 效 果 如 下 图 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理