什么是日志收集

日志记录是记录设备或应用程序中发生的事件和活动的过程，任何事件（例如用户登录、系统错误、应用程序崩溃、权限更改等）都会以日志的形式记录在系统或应用程序中，系统地记录和管理这些日志，以便它们可以用于故障排除，以及操作和安全目的。

为什么日志记录很重要

• 建立基线：通过持续分析日志，组织可以定义正常系统行为的基线，任何对这种已建立的正常行为的偏离都可能是安全异常的信号。
• 事件监控：可以帮助组织了解网络中正在发生的事情的整体情况，并提高其运营效率。
• 及时的事件响应：日志记录有助于识别可能表示潜在安全漏洞的事件模式，检测到后，会生成警报以提示立即采取行动。
• 确保合规性：合规性（如 PCI DSS、HIPAA、GDPR 等）要求组织维护所有网络日志的记录，以证明他们遵守了标准。
• 用户行为跟踪：日志在监控用户行为中起主要作用，日志数据可用于跟踪用户行为并主动检测内部威胁。
• 取证分析：在发生安全漏洞的情况下，日志可以作为取证调查的来源，它们使安全团队能够追溯并发现违规的根本原因，并收集所有必要的证据。

日志收集来源

在网络攻击的早期阶段，威胁行为者通常专注于在网络中站稳脚跟，这个初始阶段通常涉及利用漏洞和使用攻击媒介来获得未经授权的访问，一旦进入，攻击者可能会尝试横向移动、提升权限建立持久性。

但是，安全管理员如何知道网络中正在发生可疑情况呢？答案是日志。安全管理员监控网络中部分或所有日志源的日志。以下是收集和分析日志数据的一些主要资源：

• 防火墙
• 代理和其他Web过滤器
• Windows 事件
• 应用程序

防火墙

防火墙日志包含在确保网络安全方面发挥关键作用的关键信息，防火墙日志提供对网络流量的了解，例如被拒绝的连接、允许的连接、配置更改和配置错误，以及有关添加和删除用户及其权限级别更改的详细信息。

通过分析防火墙日志，管理员可以发现网络中的恶意活动，优化防火墙规则，并加强网络的安全边界。

代理和其他Web过滤器

来自代理和其他 Web 过滤器的日志由使用网络的用户和应用程序的日志数据组成，除了用户的网站请求外，这些日志还会捕获应用程序和服务请求。代理日志可以提取目标 IP、目标端口、用户代理、设备操作等信息，捕获此信息可以深入了解网络中正在发生的事情。

组织可以通过监控各种用户代理字符串并检查任何异常情况来发现其网络中的重大问题。

Windows 事件

Windows事件日志是Windows操作系统中发生的所有事件的完整记录，收集的日志信息包括Windows应用程序日志、安全和系统日志、DNS服务器日志、目录服务器日志和文件复制服务日志。

收集Windows事件日志确保任何异常或奇怪的行为被立即标记并引起注意，它确保了更好的服务器安全性、工作站安全性以及对硬件组件故障问题的诊断。

应用程序

应用程序日志是包含应用程序中发生的所有事件信息的文件。应用程序日志中的一些常见组件包括上下文信息、时间戳和日志级别。管理员可以收集Web服务器应用程序(如IIS和Apache)、数据库(如MS SQL和Oracle)、基于DHCP的应用程序等的日志。

应用程序日志可以帮助您识别和纠正与应用程序的性能和安全性相关的问题。它还可以帮助您检测用户未授权的文件访问和数据操作尝试。

日志收集工具可以帮助管理员从多个来源收集不同类型的日志，并将其统一起来，使用全面的日志收集工具，还可以帮助管理员组织和分类日志，以获得有关组织安全态势的宝贵信息。

日志收集方法

既然我们已经提到了可以从中收集日志的不同来源，那么需要注意的是，也可以使用不同的方法收集日志，收集日志数据的两种最常见机制是无代理日志收集和基于代理的日志收集，其他一些常见的日志收集技术包括基于 API 的日志收集、基于 WMI 的日志收集和SNMP 陷阱。

• 无代理日志收集
• 基于代理的日志收集
• 基于 API 的日志收集
• WMI 事件日志记录
• SNMP 陷阱

无代理日志收集

无代理日志收集是指在没有代理的情况下收集每台设备上产生的日志，生成日志的设备或应用程序会直接将日志数据发送到中央服务器，传输将使用 TCP 和 HTTPS 等协议进行保护。

基于代理的日志收集

此日志收集机制使用驻留在设备内的代理，代理收集日志数据并将其安全地发送到中央服务器，使用基于代理的日志收集的优点是，可以使用代理应用日志收集过滤器，以限制进程消耗的带宽量，基于代理的日志收集通常用于安全区域内且通信受到限制的网络。

基于 API 的日志收集

在这种方法中，API 用于查询日志数据并将其传输到安全服务器，管理员也可以使用API收集日志，并将其发送到第三方日志分析工具进行日志数据分析。

WMI 事件日志记录

Windows Management Instrument（WMI）事件日志记录是一种用于从 Windows 环境收集日志的方法，Windows 事件跟踪（ETW）是通过 WMI 事件日志记录完成的，它们收集有关事件、诊断数据、错误和网络中各种其他活动的详细信息。

SNMP 陷阱

SNMP 陷阱由启用了 SNMP 的设备（即代理）创建，并发送到收集器，每当发生重要事件时，SNMP陷阱都会实时通知收集器，主要是收集用于管理和监控的事件。

日志收集工具

EventLog Analyzer 日志管理解决方案，帮助组织有效地收集、分析和管理来自各种来源的日志数据，这种实时日志关联并不仅仅止于检测，它会立即触发警报，这些警报充当主动防护，确保对安全漏洞或操作问题做出快速响应，让管理员可以全面了解网络安全状况。