Entry № 702
日志分析
日志分析 是什么?
日志分析对系统、应用和安全日志进行系统化审查,以检测、调查和重建与安全相关的事件。
日志分析涉及操作系统、网络设备、应用程序和安全产品生成的事件记录,包括 Windows EVTX、Linux syslog/journald、Web 服务器访问日志、防火墙流量、EDR 遥测以及 AWS CloudTrail、Microsoft 365 Unified Audit Log 等云审计日志。分析师通常借助 SIEM 解析、规范化并关联这些来源,以发现认证异常、命令执行、横向移动和数据外泄。常用工具包括 Splunk、Elastic、Chainsaw、Hayabusa、EvtxECmd 和 Sigma 规则。其效果依赖于准确的时间同步、足够的日志保留以及正常行为基线。
● 示例
- 01
在 Splunk 中分析 Windows 事件 ID 4769 以追猎 Kerberoasting。
- 02
将 AWS CloudTrail 的 ConsoleLogin 失败与来自新 IP 的成功登录关联。
● 常见问题
日志分析 是什么?
对系统、应用和安全日志进行系统化审查,以检测、调查和重建与安全相关的事件。 它属于网络安全的 取证与应急响应 分类。
日志分析 是什么意思?
对系统、应用和安全日志进行系统化审查,以检测、调查和重建与安全相关的事件。
如何防御 日志分析?
针对 日志分析 的防御通常结合技术控制与运营实践,详见上方完整定义。
日志分析 还有哪些其他名称?
常见的别称包括: 事件日志分析, 安全日志审查。