日志技术

目录

 Windows事件日志分类

Windows日志分析方法

Linux日志简介

 Linux日志分析技巧

Web服务器日志(windows)

---

• 日志用来记录系统、程序运行中发生的各种事件，有助于定位问题的根本原因。
• 不同的操作系统、程序都有不同的日志，

        如：Linux系统日志、Windows系统日志、MySQL数据库日志、mssql数据库日志以及

        各种WEB日志(如apache、tomcat、nginx日志等)

 Windows事件日志分类

系统日志、应用程序日志、安全日志

Windows日志分析方法

1.查看管理员登陆时间、用户名是否存在异常

（1）不借助工具

        开始——>所有程序——>管理工具——>事件查看器

        window+R，输入“eventvwr.msc”，进入事件查看器

对于Windows事件日志分析，不同的EVENT ID 代表不同意义，每个成功登录的事件都会标记一个登录类型，不同登陆类型代表不同方式。

事件ID	说明
4624	登陆成功
4625	登陆失败
4634	注销成功
4647	用户启动的注销
4672	使用超级用户(如，管理员)进行登录
4720	创建用户

登陆类型	描述	说明
2	交互式登录	用户在本地进行登录
3	网络	最常见的情况就是连接到共享文件夹或共享打印机
4	批处理	通常表明某计划任务启动
5	服务	每种服务都被配置在某个特定的用户账号下运行
7	解锁	屏保解锁
8	网络明文	登录的密码在网络上是通过明文传输的，如FTP
9	新凭证	使用带/Netonly参数的RUNAS命令运行一个程序
10	远程交互	通过终端服务，远程桌面或远程协助访问计算机
11	缓存交互	以一个域用户登录而又没有域控制器可用

2.借助工具Event Log Explorer

Linux日志简介

Linux日志默认存放位置：/var/log/

查看日志配置情况：more/etc/rsyslog.conf

 Linux日志分析技巧

 grep(egrep)、awk、sed文本编辑三剑客，可以按照用户的需求，过滤出用户有价值的信息

第一条：查找登录root账号失败的事件，从/var/log/secure文件中，只显示第11行信息(ip)，然后排序sort，去重计数，再排序，more分屏显示。

Web服务器日志(windows)

Web服务器为例，其日志包括：安全日志、系统日志、应用程序日志、WWW日志、FTP日志等。eventvwr.msc打开事件查看器进行查看。

(1).安全日志文件:C:\WINDOWS\system32\config\SecEvent.Evt
(2).系统日志文件:C:\WINDOWS\system32\config\SysEvent.Evt
(3).应用程序日志文件:C:\WINDOWS\system32\config\AppEvent.Evt
(4).FTP日志默认位置:C:\WINDOWS\system32\Logfiles\MSFTPSVC1
(5).WWW日志默认位置:C:\WINDOWS\system32\Logfiles\W3SVC1

补充：

以上都是单机模式，如果架构比较大的时候，n台服务器，需要用一个log server统一管理日志。

ELK

 logstash负责对日志进行过滤，Elasticsearch对日志处理，Kibana通过图像界面展示出来

图片非原创，视频学习时截取，方便自己查看