Windows應急響應和系統加固(7)——Windows操作系統日誌分析

Windows操作系統日誌分析

一、Windows操作系統日誌介紹：

　　1.Windows操作系統日誌介紹：

　　　　<1>.Windows操作系統在運行生命周期，以特定數據結構方式存儲、記錄OS大量運行的日誌信息，例如：System、Security、Application... ...，主要包括：Windows事件日誌（Event Log）、Windows Web Server IIS日

志、Windows FTP日誌、Exchange Server郵件服務、MS SQL Server資料庫日誌等。

　　　　<2>.Windows日誌包含9個元素：日期/時間、事件類型、用戶、電腦、事件ID、來源、類別、描述、數據... ... ...。

　　　　<3>.系統內置3個核心日誌文件（System、Security、Application）;

　　　　　　預設大小均為20480KB（20MB）,數據超過20MB，預設系統將優先覆蓋過期日誌記錄。

　　　　<5>.應用程式、服務日誌預設最大1024KB，超過最大限制也優先覆蓋過期的日誌記錄。

　　2.Windows事件日誌，共有五種事件類型：

　　　　註：所有事件必須擁有五種事件類型中的一種，且只可以有一種。 

　　　　<1>.信息（Information）

　　　　　　指應用程式、驅動程式、服務的成功操作的事件。

　　　　<2>.警告（Warning）

　　　　　　運行故障和警告信息。例如，刪除硬碟操作。

　　　　<3>.錯誤（Error）

　　　　　　通常指功能和數據的丟失。e.g.如果一個服務不能作為系統引導被載入，即會產生一個錯誤事件。

　　　　<4>.成功審核（Success audit）

　　　　　　成功審核的安全訪問嘗試，主要是指安全性日誌，這裡記錄著用戶登錄/註銷、對象訪問、特權使用、賬戶管理、策略更改、目錄服務訪問、賬戶登錄等事件。

　　　　　　註：所有成功登錄系統的事件，都被記錄“ 成功審核”事件。ID號4624。

　　　　<5>.失敗審核（Failure audit）

　　　　　　失敗審核的安全登錄嘗試。

　　　　　　註：用戶試圖通過RDP 3389嘗試的失敗登錄，都以失敗審核事件記錄下來。ID號4625。

　　3.幾種類型Windows日誌：

　　　　<1>.System系統日誌：

　　　　　　系統進程、設備、磁碟活動等。記錄了設備驅動無法正常啟動或停止，硬體失敗，重覆IP地址，系統進程的啟動，停止及暫停等行為。

　　　　<2>.Security安全日誌：

　　　　　　包含安全性相關的事件。e.g.用戶許可權變更，登錄及註銷，文件/文件夾訪問等信息。

　　　　<3>.Application應用程式日誌：

　　　　　　包含操作系統安裝的應用程式軟體相關的事件。事件包括了錯誤、警告及任何應用程式需要報告的信息，應用程式開發人員可以決定記錄哪些信息。

　　　　<4>.應用程式及服務日誌:

　　　　　　如遠程桌面客戶端連接、無線網路、有線網路、設備安裝等相關日誌。

　　註：可在windows操作系統中打開cmd指令，輸入"eventvwr.msc"打開日誌，"windows日誌"文件裡面找到系統日誌。

　　4.關於windows操作系統日誌的刪除：

　　　　Windows操作系統預設沒有提供刪除特定日誌記錄的功能，僅提供刪除所有日誌的操作功能，因此，日誌記錄ID（Event Record ID）應該是連續的(預設的排序方式應是從大到小往下排列)，當發現日誌為不連續的時候，要警惕是

否日誌被刪除了。

　　　　早期版本Windows日誌只有應用程式、安全、系統、Setup安裝，新版本OS增加了設置及轉發事件日誌（預設禁用），如需要的話可以打開。

　　5.導出windows日誌文件：

　　　　右擊所需要保存的日誌，選擇"將所有日誌另存為"，可選格式如圖：.evtx、.xml、.txt、.csv，

 　　6.windows日誌事件ID和登陸類型：

　　　　<1>.windows日誌事件ID：

　　　　　　4624，成功的登錄；

　　　　　　4625，失敗的嘗試；

　　　　　　4672，授予特殊許可權；

　　　　　　4720，添加用戶；

　　　　　　4726，刪除用戶；

　　　　　　4634，成功的註銷；

　　　　　　4672，超級用戶登錄；

　　　　<2>.Windows日誌事件的登錄類型：

　　　　　　每個成功登錄的事件都會標記一個登錄類型，不同登錄類型，代表不同的方式。

　　　　詳細的安全事件的說明：

　　　　　　https://support.microsoft.com/zh-cn/help/977519/description-of-security-events-in-windows-7-and-in-windows-server-2008

二、Windows操作系統日誌分析：

　　1.Log Parser：

　　　　<1>.介紹：

　　　　　　　　微軟出品日誌分析工具，具備通用日誌分析能力；

　　　　　　　　可實現分析Windows系統日誌、IIS、Apache、Tomcat、Nginx等日誌；

　　　　　　　　功能強大，可分析基於文本的日誌文件、XML 文件、CSV逗號分隔符文件，以及操作系統事件日誌、註冊表、文件系統、Active Directory。

　　　　　　　　可使用SQL語句查詢分析日誌數據，甚至可以將分析結果以各種圖表的形式展現。

　　　　<2>.下載地址：

　　　　　　https://www.microsoft.com/en-us/download/details.aspx?id=24659

　　　　<3>.Log Parser的輔助、加強工具，圖形化界面操作--Log Parser Lizard GUI。

　　　　　　下載地址：https://lizard-labs.com/products.aspx

　　2.Splunk日誌數據分析平臺 ：

　　　　<1>.介紹：

　　　　　　Splunk是強大的日誌數據收集、索引、分析和處理、搜索引擎。

　　　　<2>.下載地址：

　　　　　　https://www.splunk.com/en_us/download/splunk-enterprise.html

　　3.logonTracer ：

　　　　<1>.介紹：

　　　　　　Windows系統，安全登錄日誌分析工具logonTracer

　　　　<2>.下載地址：

　　　　　　https://github.com/TheKingOfDuck/logonTracer