日志分析与溯源
日志分析与溯源
日志是系统和应用程序运行过程中自动生成的记录，是安全事件调查和溯源的核心数据来源。通过对各类日志的系统化分析，蓝队人员能够还原攻击过程、定位攻击源、评估影响范围。
一、日志分析概述
1.1 日志的分类
- 系统日志：操作系统层面的事件记录
- 安全日志：认证、授权等安全相关事件
- 应用日志：应用程序运行时的记录
- Web日志：Web服务器的访问和错误日志
- 网络设备日志：防火墙、路由器、交换机日志
1.2 日志分析的目标
- 确定攻击的入口点
- 追踪攻击者的活动轨迹
- 识别受影响的系统和数据
- 评估损失程度
- 提取攻击指标（IoC）
二、Windows事件日志
2.1 事件日志类型
Windows事件日志存储在%SystemRoot%\System32\winevt\Logs\目录下：
| 日志类型 | 文件名 | 记录内容 |
|---|---|---|
| 系统日志 | System.evtx | 系统事件、驱动加载、服务启动 |
| 安全日志 | Security.evtx | 登录事件、权限变更、审计策略 |
| 应用日志 | Application.evtx | 应用程序事件和错误 |
| PowerShell | Microsoft-Windows-PowerShell%4Operational.evtx | PowerShell执行记录 |
2.2 关键安全事件ID
登录相关
| 事件ID | 描述 | 意义 |
|---|---|---|
| 4624 | 登录成功 | 确认成功登录 |
| 4625 | 登录失败 | 暴力破解尝试 |
| 4634 | 注销 | 用户会话结束 |
| 4648 | 显式凭据登录 | RunAs使用、横向移动 |
| 4672 | 特权分配 | 高权限登录 |
账户管理
| 事件ID | 描述 | 意义 |
|---|---|---|
| 4720 | 账户创建 | 新用户添加 |
| 4728 | 成员添加到安全组 | 权限提升 |
| 4732 | 添加到本地组 | 本地权限变更 |
策略变更
| 事件ID | 描述 | 意义 |
|---|---|---|
| 4719 | 审计策略变更 | 可能的防御规避 |
| 4739 | 域策略变更 | 域安全配置变更 |
2.3 PowerShell日志分析
启用PowerShell脚本块日志记录后，可以记录所有PowerShell脚本的执行内容：
事件ID 4103：模块日志记录
事件ID 4104：脚本块日志记录（记录完整脚本内容）
事件ID 4105：脚本块执行开始
事件ID 4106：脚本块执行结束三、Syslog分析
3.1 Syslog格式
Syslog是Linux/Unix系统的标准日志协议，消息格式：
<优先级>时间戳 主机名 进程名[PID]：消息内容3.2 关键日志文件
| 文件路径 | 记录内容 |
|---|---|
| /var/log/auth.log | 认证和授权事件 |
| /var/log/syslog | 系统通用日志 |
| /var/log/secure | CentOS/RHEL安全日志 |
| /var/log/kern.log | 内核日志 |
| /var/log/cron.log | 定时任务日志 |
| /var/log/apache2/ | Apache访问和错误日志 |
3.3 常见安全事件
# 查看失败的SSH登录
grep "Failed password" /var/log/auth.log
# 查看成功登录
grep "Accepted" /var/log/auth.log
# 查看sudo使用记录
grep "sudo:" /var/log/auth.log
# 查看定时任务执行
grep "CRON" /var/log/syslog四、Web日志分析
4.1 Apache/Nginx日志格式
标准Combined日志格式：
客户端IP - 用户名 [时间] "方法 URL 协议" 状态码 响应大小 "Referer" "User-Agent"4.2 常见攻击特征识别
SQL注入
GET /page?id=1' UNION SELECT--
POST /login username=admin' OR '1'='1XSS攻击
GET /search?q=<script>alert(1)</script>目录遍历
GET /../../etc/passwd
GET /..%2F..%2Fetc%2FpasswdWebshell访问
POST /uploads/backdoor.php
GET /admin/cmd.php?cmd=whoami4.3 日志分析命令
# 统计访问最多的IP
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
# 查找404错误（扫描行为）
awk '$9 == 404' access.log | awk '{print $7}' | sort | uniq -c | sort -rn
# 查找POST请求
awk '$6 == "\"POST"' access.log
# 按时间范围过滤
awk '/01\/Jul\/2026/' access.log五、攻击时间线重建
5.1 时间线构建步骤
- 确定关键时间点：事件发生的大致时间范围
- 收集各源日志：系统日志、Web日志、安全设备日志
- 时间标准化：统一时区和时间格式
- 事件关联：将不同来源的事件按时间排序
- 因果分析：确定事件之间的因果关系
- 绘制时间线：形成完整的攻击过程描述
5.2 时间线分析工具
- Plaso/log2timeline：自动化时间线生成工具
- ELK Stack：日志聚合和可视化分析平台
- Splunk：企业级日志分析平台
5.3 关联分析要点
- 同一攻击者在不同系统上的活动关联
- 攻击行为与系统变更的关联
- 网络通信与主机活动的关联
- 外部威胁情报与内部日志的关联
六、总结
日志分析是蓝队溯源工作的基础。掌握Windows事件日志、Syslog和Web日志的分析技术，结合系统化的时间线重建方法，能够帮助安全人员高效地还原安全事件的完整过程，为后续的响应处置提供可靠依据。