搜索

[914] 2019-06-03_Window日志分析

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-16
2019-06-03_Window日志分析 W i n d o w 日 志 分 析 B y p a s s   B y p a s s   2 0 1 9 - 0 6 - 0 3 0 x 0 1   W i n d o w 事 件 日 志 简 介 W i n d o w s 系 统 日 志 是 记 录 系 统 中 硬 件 、 软 件 和 系 统 问 题 的 信 息 ， 同 时 还 可 以 监 视 系 统 中 发 生 的 事 件 。 用 户 可 以 通 过 它 来 检 查 错 误 发 生 的 原 因 ， 或 者 寻 找 受 到 攻 击 时 攻 击 者 留 下 的 痕 迹 。 W i n d o w s 主 要 有 以 下 三 类 日 志 记 录 系 统 事 件 ： 应 用 程 序 日 志 、 系 统 日 志 和 安 全 日 志 。 系 统 日 志 系 统 日 志 记 录 操 作 系 统 组 件 产 生 的 事 件 ， 主 要 包 括 驱 动 程 序 、 系 统 组 件 和 应 用 软 件 的 崩 溃 以 及 数 据 丢 失 错 误 等 。 系 统 日 志 中 记 录 的 时 间 类 型 由 W i n d o w s N T / 2 0 0 0 操 作 系 统 预 先 定 义 。 默 认 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S y s t e m . e v t x 应 用 程 序 日 志 应 用 程 序 日 志 包 含 由 应 用 程 序 或 系 统 程 序 记 录 的 事 件 ， 主 要 记 录 程 序 运 行 方 面 的 事 件 ， 例 如 数 据 库 程 序 可 以 在 应 用 程 序 日 志 中 记 录 文 件 错 误 ， 程 序 开 发 人 员 可 以 自 行 决 定 监 视 哪 些 事 件 。 如 果 某 个 应 用 程 序 出 现 崩 溃 情 况 ， 那 么 我 们 可 以 从 程 序 事 件 日 志 中 找 到 相 应 的 记 录 ， 也 许 会 有 助 于 你 解 决 问 题 。 默 认 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s A p p l i c a t i o n . e v t x 安 全 日 志 安 全 日 志 记 录 系 统 的 安 全 审 计 事 件 ， 包 含 各 种 类 型 的 登 录 日 志 、 对 象 访 问 日 志 、 进 程 追 踪 日 志 、 特 权 使 用 、 帐 号 管 理 、 策 略 变 更 、 系 统 事 件 。 安 全 日 志 也 是 调 查 取 证 中 最 常 用 到 的 日 志 。 默 认 设 置 下 ， 安 全 性 日 志 是 关 闭 的 ， 管 理 员 可 以 使 用 组 策 略 来 启 动 安 全 性 日 志 ， 或 者 在 注 册 表 中 设 置 审 核 策 略 ， 以 便 当 安 全 性 日 志 满 后 使 系 统 停 止 响 应 。 默 认 位 置 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S e c u r i t y . e v t x   系 统 和 应 用 程 序 日 志 存 储 着 故 障 排 除 信 息 ， 对 于 系 统 管 理 员 更 为 有 用 。 安 全 日 志 记 录 着 事 件 审 计 信 息 ， 包 括 用 户 验 证 （ 登 录 、 远 程 访 问 等 ） 和 特 定 用 户 在 认 证 后 对 系 统 做 了 什 么 ， 对 于 调 查 人 员 而 言 ， 更 有 帮 助 。 0 X 0 2   审 核 策 略 与 事 件 查 看 器 W i n d o w s   S e r v e r   2 0 0 8   R 2   系 统 的 审 核 功 能 在 默 认 状 态 下 并 没 有 启 用   ， 建 议 开 启 审 核 策 略 ， 若 日 后 系 统 出 现 故 障 、 安 全 事 故 则 可 以 查 看 系 统 的 日 志 文 件 ， 排 除 故 障 ， 追 查 入 侵 者 的 信 息 等 。 P S ： 默 认 状 态 下 ， 也 会 记 录 一 些 简 单 的 日 志 ， 日 志 默 认 大 小 2 0 M 设 置 设 置 1 ： 开 始   →   管 理 工 具   →   本 地 安 全 策 略   →   本 地 策 略   →   审 核 策 略 ， 参 考 配 置 操 作 ：
设 置 设 置 2 ： 设 置 合 理 的 日 志 属 性 ， 即 日 志 最 大 大 小 、 事 件 覆 盖 阀 值 等 ： 查 看 系 统 日 志 方 法 ： 查 看 系 统 日 志 方 法 ： 在 “ 开 始 开 始 ” 菜 单 上 ， 依 次 指 向 “ 所 有 程 序 所 有 程 序 ” 、 “ 管 理 工 具 管 理 工 具 ” ， 然 后 单 击 “ 事 件 查 看 器 事 件 查 看 器 ” 按   " W i n d o w + R " ， 输 入   ” e v e n t v w r . m s c “   也 可 以 直 接 进 入 “ 事 件 查 看 器 事 件 查 看 器 ” 0 x 0 3   事 件 日 志 分 析 对 于 W i n d o w s 事 件 日 志 分 析 ， 不 同 的 E V E N T   I D 代 表 了 不 同 的 意 义 ， 摘 录 一 些 常 见 的 安 全 事 件 的 说 明 ： 事 件 事 件 I D 说 明 说 明 4 6 2 4 登 录 成 功 4 6 2 5 登 录 失 败 4 6 3 4 注 销 成 功 4 6 4 7 用 户 启 动 的 注 销 4 6 7 2 使 用 超 级 用 户 （ 如 管 理 员 ） 进 行 登 录 4 7 2 0 创 建 用 户 每 个 成 功 登 录 的 事 件 都 会 标 记 一 个 登 录 类 型 ， 不 同 登 录 类 型 代 表 不 同 的 方 式 ： 登 录 登 录 类 型 类 型 描 述 描 述 说 明 说 明 2 交 互 式 登 录 （ I n t e r a c t i v e ） 用 户 在 本 地 进 行 登 录 。 3 网 络 （ N e t w o r k ） 最 常 见 的 情 况 就 是 连 接 到 共 享 文 件 夹 或 共 享 打 印 机 时 。 4 批 处 理 （ B a t c h ） 通 常 表 明 某 计 划 任 务 启 动 。 5 服 务 （ S e r v i c e ） 每 种 服 务 都 被 配 置 在 某 个 特 定 的 用 户 账 号 下 运 行 。 7 解 锁 （ U n l o c k ） 屏 保 解 锁 。 8 网 络 明 文 （ N e t w o r k C l e a r t e x t ） 登 录 的 密 码 在 网 络 上 是 通 过 明 文 传 输 的 ， 如 F T P 。 9 新 凭 证 （ N e w C r e d e n t i a l s ） 使 用 带 / N e t o n l y 参 数 的 R U N A S 命 令 运 行 一 个 程 序 。 1 0 远 程 交 互 ， （ R e m o t e I n t e r a c t i v e ） 通 过 终 端 服 务 、 远 程 桌 面 或 远 程 协 助 访 问 计 算 机 。 1 1 缓 存 交 互 （ C a c h e d I n t e r a c t i v e ） 以 一 个 域 用 户 登 录 而 又 没 有 域 控 制 器 可 用 关 于 更 多 E V E N T   I D ， 详 见 微 软 官 方 网 站 上 找 到 了 “ W i n d o w s   V i s t a   和   W i n d o w s   S e r v e r   2 0 0 8   中 的 安 全 事 件 的 说 明 ” 。 原 文 链 接   ： h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / z h - c n / h e l p / 9 7 7 5 1 9 / d e s c r i p t i o n - o f - s e c u r i t y - e v e n t s - i n - w i n d o w s - 7 - a n d - i n - w i n d o w s - s e r v e r - 2 0 0 8 案 例 1 ： 可 以 利 用 e v e n t l o g 事 件 来 查 看 系 统 账 号 登 录 情 况 ： 在 “ 开 始 开 始 ” 菜 单 上 ， 依 次 指 向 “ 所 有 程 序 所 有 程 序 ” 、 “ 管 理 工 具 管 理 工 具 ” ， 然 后 单 击 “ 事 件 查 看 器 事 件 查 看 器 ” ； 在 事 件 查 看 器 中 ， 单 击 “ 安 全 安 全 ” ， 查 看 安 全 日 志 ； 在 安 全 日 志 右 侧 操 作 中 ， 点 击 “ 筛 选 当 前 日 志 筛 选 当 前 日 志 ” ， 输 入 事 件 I D 进 行 筛 选 。 4 6 2 4     - - 登 录 成 功   4 6 2 5     - - 登 录 失 败 4 6 3 4   - -   注 销 成 功 4 6 4 7   - -   用 户 启 动 的 注 销   4 6 7 2   - -   使 用 超 级 用 户 （ 如 管 理 员 ） 进 行 登 录 我 们 输 入 事 件 I D ： 4 6 2 5 进 行 日 志 筛 选 ， 发 现 事 件 I D ： 4 6 2 5 ， 事 件 数 1 7 5 9 0 4 ， 即 用 户 登 录 失 败 了 1 7 5 9 0 4 次 ， 那 么 这 台 服 务 器 管 理 员 账 号 可 能 遭 遇 了 暴 力 猜 解 。
案 例 2 ： 可 以 利 用 e v e n t l o g 事 件 来 查 看 计 算 机 开 关 机 的 记 录 ： 1 、 在 “ 开 始 开 始 ” 菜 单 上 ， 依 次 指 向 “ 所 有 程 序 所 有 程 序 ” 、 “ 管 理 工 具 管 理 工 具 ” ， 然 后 单 击 “ 事 件 查 看 器 事 件 查 看 器 ” ； 2 、 在 事 件 查 看 器 中 ， 单 击 “ 系 统 系 统 ” ， 查 看 系 统 日 志 ； 3 、 在 系 统 日 志 右 侧 操 作 中 ， 点 击 “ 筛 选 当 前 日 志 筛 选 当 前 日 志 ” ， 输 入 事 件 I D 进 行 筛 选 。 其 中 事 件 I D   6 0 0 6   I D 6 0 0 5 、   I D   6 0 0 9 就 表 示 不 同 状 态 的 机 器 的 情 况 （ 开 关 机 ） 。 6 0 0 5   信 息   E v e n t L o g   事 件 日 志 服 务 已 启 动 。 ( 开 机 )   6 0 0 6   信 息   E v e n t L o g   事 件 日 志 服 务 已 停 止 。 ( 关 机 )   6 0 0 9   信 息   E v e n t L o g   按 c t r l 、 a l t 、 d e l e t e 键 ( 非 正 常 ) 关 机 我 们 输 入 事 件 I D ： 6 0 0 5 - 6 0 0 6 进 行 日 志 筛 选 ， 发 现 了 两 条 在 2 0 1 8 / 7 / 6   1 7 : 5 3 : 5 1 左 右 的 记 录 ， 也 就 是 我 刚 才 对 系 统 进 行 重 启 的 时 间 。
0 x 0 4   日 志 分 析 工 具 L o g   P a r s e r L o g   P a r s e r （ 是 微 软 公 司 出 品 的 日 志 分 析 工 具 ， 它 功 能 强 大 ， 使 用 简 单 ， 可 以 分 析 基 于 文 本 的 日 志 文 件 、 X M L   文 件 、 C S V （ 逗 号 分 隔 符 ） 文 件 ， 以 及 操 作 系 统 的 事 件 日 志 、 注 册 表 、 文 件 系 统 、 A c t i v e   D i r e c t o r y 。 它 可 以 像 使 用   S Q L   语 句 一 样 查 询 分 析 这 些 数 据 ， 甚 至 可 以 把 分 析 结 果 以 各 种 图 表 的 形 式 展 现 出 来 。 L o g   P a r s e r   2 . 2 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 2 4 6 5 9 L o g   P a r s e r   使 用 示 例 ： h t t p s : / / m l i c h t e n b e r g . w o r d p r e s s . c o m / 2 0 1 1 / 0 2 / 0 3 / l o g - p a r s e r - r o c k s - m o r e - t h a n - 5 0 - e x a m p l e s / 基 本 查 询 结 构 基 本 查 询 结 构   L o g p a r s e r . e x e   – i : E V T   – o : D A T A G R I D   " S E L E C T   *   F R O M   c : x x . e v t x " 使 用 使 用 L o g   P a r s e r 分 析 日 志 分 析 日 志 1 、 查 询 登 录 成 功 的 事 件 登 录 成 功 的 所 有 事 件 L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   *     F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 4 " 指 定 登 录 时 间 范 围 的 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   *     F R O M   c : S e c u r i t y . e v t x   w h e r e   T i m e G e n e r a t e d > ' 2 0 1 8 - 0 6 - 1 9   2 3 : 3 2 : 1 1 '   a n d   T i m e G e n e r a t e d < ' 2 0 1 8 - 0 6 - 2 0   2 3 : 3 4 : 0 0 '   a n d   E v e n t I D = 4 6 2 4 " 提 取 登 录 成 功 的 用 户 名 和 I P ： L o g P a r s e r . e x e   - i : E V T     – o : D A T A G R I D     " S E L E C T   E X T R A C T _ T O K E N ( M e s s a g e , 1 3 , '   ' )   a s   E v e n t T y p e , T i m e G e n e r a t e d   a s   L o g i n T i m e , E X T R A C T _ T O K E N ( S t r i n g s , 5 , ' | ' )   a s   U s e r n a m e , E X T R A C T _ T O K E N ( M e s s a g e , 3 8 , '   ' )   a s   L o g i n i p   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 4 "   2 、 查 询 登 录 失 败 的 事 件 登 录 失 败 的 所 有 事 件 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   *     F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 5 " 提 取 登 录 失 败 用 户 名 进 行 聚 合 统 计 ： L o g P a r s e r . e x e     - i : E V T   " S E L E C T     E X T R A C T _ T O K E N ( M e s s a g e , 1 3 , '   ' )     a s   E v e n t T y p e , E X T R A C T _ T O K E N ( M e s s a g e , 1 9 , '   ' )   a s   u s e r , c o u n t ( E X T R A C T _ T O K E N ( M e s s a g e , 1 9 , '   ' ) )   a s   T i m e s , E X T R A C T _ T O K E N ( M e s s a g e , 3 9 , '   ' )   a s   L o g i n i p   F R O M   c : S e c u r i t y . e v t x   w h e r e   E v e n t I D = 4 6 2 5   G R O U P   B Y   M e s s a g e " 3 、 系 统 历 史 开 关 机 记 录 ： L o g P a r s e r . e x e   - i : E V T   – o : D A T A G R I D     " S E L E C T   T i m e G e n e r a t e d , E v e n t I D , M e s s a g e   F R O M   c : S y s t e m . e v t x   w h e r e   E v e n t I D = 6 0 0 5   o r   E v e n t I D = 6 0 0 6 " L o g P a r s e r   L i z a r d 对 于 G U I 环 境 的 L o g   P a r s e r   L i z a r d ， 其 特 点 是 比 较 易 于 使 用 ， 甚 至 不 需 要 记 忆 繁 琐 的 命 令 ， 只 需 要 做 好 设 置 ， 写 好 基 本 的 S Q L 语 句 ， 就 可 以 直 观 的 得 到 结 果 。 下 载 地 址 ： h t t p : / / w w w . l i z a r d - l a b s . c o m / l o g _ p a r s e r _ l i z a r d . a s p x 依 赖 包 ： M i c r o s o f t   . N E T   F r a m e w o r k   4   . 5 ， 下 载 地 址 ： h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 4 2 6 4 2 查 询 最 近 用 户 登 录 情 况 ：
E v e n t   L o g   E x p l o r e r E v e n t   L o g   E x p l o r e r 是 一 款 非 常 好 用 的 W i n d o w s 日 志 分 析 工 具 。 可 用 于 查 看 ， 监 视 和 分 析 跟 事 件 记 录 ， 包 括 安 全 ， 系 统 ， 应 用 程 序 和 其 他 微 软 W i n d o w s   的 记 录 被 记 载 的 事 件 ， 其 强 大 的 过 滤 功 能 可 以 快 速 的 过 滤 出 有 价 值 的 信 息 。 下 载 地 址 ： h t t p s : / / e v e n t - l o g - e x p l o r e r . e n . s o f t o n i c . c o m /

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理