Windows作業系統日志分析
一、Windows作業系統日志介紹：
1.Windows作業系統日志介紹：
<1>.Windows作業系統在運行生命周期，以特定資料結構方式存盤、記錄OS大量運行的日志資訊，例如：System、Security、Application... ...，主要包括：Windows事件日志（Event Log）、Windows Web Server IIS日
志、Windows FTP日志、Exchange Server郵件服務、MS SQL Server資料庫日志等，
<2>.Windows日志包含9個元素：日期/時間、事件型別、用戶、計算機、事件ID、來源、類別、描述、資料... ... ...，
<3>.系統內置3個核心日志檔案（System、Security、Application）;
默認大小均為20480KB（20MB）,資料超過20MB，默認系統將優先覆寫過期日志記錄，
<5>.應用程式、服務日志默認最大1024KB，超過最大限制也優先覆寫過期的日志記錄，
2.Windows事件日志，共有五種事件型別：
注：所有事件必須擁有五種事件型別中的一種，且只可以有一種，
<1>.資訊（Information）
指應用程式、驅動程式、服務的成功操作的事件，
<2>.警告（Warning）
運行故障和警告資訊，例如，洗掉硬碟操作，
<3>.錯誤（Error）
通常指功能和資料的丟失，e.g.如果一個服務不能作為系統引導被加載，即會產生一個錯誤事件，
<4>.成功審核（Success audit）
成功審核的安全訪問嘗試，主要是指安全性日志，這里記錄著用戶登錄/注銷、物件訪問、特權使用、賬戶管理、策略更改、目錄服務訪問、賬戶登錄等事件，
注：所有成功登錄系統的事件，都被記錄“ 成功審核”事件，ID號4624，
<5>.失敗審核（Failure audit）
失敗審核的安全登錄嘗試，
注：用戶試圖通過RDP 3389嘗試的失敗登錄，都以失敗審核事件記錄下來，ID號4625，
3.幾種型別Windows日志：
<1>.System系統日志：
系統行程、設備、磁盤活動等，記錄了設備驅動無法正常啟動或停止，硬體失敗，重復IP地址，系統行程的啟動，停止及暫停等行為，
<2>.Security安全日志：
包含安全性相關的事件，e.g.用戶權限變更，登錄及注銷，檔案/檔案夾訪問等資訊，
<3>.Application應用程式日志：
包含作業系統安裝的應用程式軟體相關的事件，事件包括了錯誤、警告及任何應用程式需要報告的資訊，應用程式開發人員可以決定記錄哪些資訊，
<4>.應用程式及服務日志:
如遠程桌面客戶端連接、無線網路、有線網路、設備安裝等相關日志，
注：可在windows作業系統中打開cmd指令，輸入"eventvwr.msc"打開日志，"windows日志"檔案里面找到系統日志，
4.關于windows作業系統日志的洗掉：
Windows作業系統默認沒有提供洗掉特定日志記錄的功能，僅提供洗掉所有日志的操作功能，因此，日志記錄ID（Event Record ID）應該是連續的(默認的排序方式應是從大到小往下排列)，當發現日志為不連續的時候，要警惕是
否日志被洗掉了，
早期版本Windows日志只有應用程式、安全、系統、Setup安裝，新版本OS增加了設定及轉發事件日志（默認禁用），如需要的話可以打開，
5.匯出windows日志檔案：
右擊所需要保存的日志，選擇"將所有日志另存為"，可選格式如圖：.evtx、.xml、.txt、.csv，
6.windows日志事件ID和登陸型別：
<1>.windows日志事件ID：
4624，成功的登錄；
4625，失敗的嘗試；
4672，授予特殊權限；
4720，添加用戶；
4726，洗掉用戶；
4634，成功的注銷；
4672，超級用戶登錄；
<2>.Windows日志事件的登錄型別：
每個成功登錄的事件都會標記一個登錄型別，不同登錄型別，代表不同的方式，
詳細的安全事件的說明：
https://support.microsoft.com/zh-cn/help/977519/description-of-security-events-in-windows-7-and-in-windows-server-2008
二、Windows作業系統日志分析：
1.Log Parser：
<1>.介紹：
微軟出品日志分析工具，具備通用日志分析能力；
可實作分析Windows系統日志、IIS、Apache、Tomcat、Nginx等日志；
功能強大，可分析基于文本的日志檔案、XML 檔案、CSV逗號分隔符檔案，以及作業系統事件日志、注冊表、檔案系統、Active Directory，
可使用SQL陳述句查詢分析日志資料，甚至可以將分析結果以各種圖表的形式展現，
<2>.下載地址：
https://www.microsoft.com/en-us/download/details.aspx?id=24659
<3>.Log Parser的輔助、加強工具，圖形化界面操作--Log Parser Lizard GUI，
下載地址：https://lizard-labs.com/products.aspx
2.Splunk日志資料分析平臺 ：
<1>.介紹：
Splunk是強大的日志資料收集、索引、分析和處理、搜索引擎，
<2>.下載地址：
https://www.splunk.com/en_us/download/splunk-enterprise.html
3.logonTracer ：
<1>.介紹：
Windows系統，安全登錄日志分析工具logonTracer
<2>.下載地址：
https://github.com/TheKingOfDuck/logonTracer
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/237932.html
標籤：其他