Window日志分析

版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/qq_23936389/article/details/86150434

Window日志分析

 0X00 简介

 

0x01 基本设置 

A、Windows审核策略设置

前提:开启审核策略,若日后系统出现故障、安全事故则可以查看系统的日志文件,排除故障,追查入侵者的信息等。

打开设置窗口

  Windows Server 2008 R2:开始 → 管理工具 → 本地安全策略 → 本地策略 → 审核策略,如图1所示;

  Windows Server 2003:开始 → 运行 → 输入 gpedit.msc 回车 → 计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略。

各项策略可按如下设置:

B、查看Windows的系统操作记录日志的方法:

1、开始 → 管理工具 → 事件查看器

2、Win+R打开运行,输入“eventvwr.msc”,回车运行,打开“事件查看器”。

C、如何筛选

如果想要查看账户登录事件,在右边点击筛选当前日志,在事件ID填入4624和4625,4624 登录成功 4625 登录失败

 D、事件ID及常见场景

 对于Windows事件日志分析,不同的EVENT ID代表了不同的意义,摘录一些常见的安全事件的说明。

4624  --登录成功   
4625  --登录失败  
4634 -- 注销成功
4647 -- 用户启动的注销   
4672 -- 使用超级用户(如管理员)进行登录

例如:

1、管理员登录

 使用mstsc远程登录某个主机时,使用的帐户是管理员帐户的话,成功的情况下会有ID为4776、4648、4624、4672的事件产生。

 

2、执行系统命令

Win+R打开运行,输入“CMD”,回车运行“ipconfig”,产生的日志过程是这个样子:

进程创建 C:\Windows\System32\cmd.exe 

进程创建 C:\Windows\System32\ipconfig.exe

进程终止 C:\Windows\System32\ipconfig.exe 

 0x03 日志分析工具

A、Log Parser

Log Parser(是微软公司出品的日志分析工具,它功能强大,使用简单,可以分析基于文本的日志文件、XML 文件、CSV(逗号分隔符)文件,以及操作系统的事件日志、注册表、文件系统、Active Directory。它可以像使用 SQL 语句一样查询分析这些数据,甚至可以把分析结果以各种图表的形式展现出来。

 Log Parser 2.2下载地址:https://www.microsoft.com/en-us/download/details.aspx?id=24659

 

分析案例:

管理员登录时间和登录用户名

C:\Program Files (x86)\Log Parser 2.2>LogParser.exe -i:EVT "SELECT TimeGenerated
 as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username FROM c:\11.evtx where Eve
ntID=4624"

LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:\11.evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"

RDP爆破使用的用户名及爆破次数:

C:\Program Files (x86)\Log Parser 2.2>LogParser.exe  -i:EVT "SELECT EXTRACT_TOKE
N(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) FROM c:\11.evtx w
here EventID=4625 GROUP BY Message"
user   COUNT(ALL EXTRACT_TOKEN(Message, 19, ' '))

创建的进程过程:

LogParser.exe -i:EVT –o:DATAGRID  "SELECT TimeGenerated as Creationtime,EXTRACT_TOKEN(Strings,5,'|') as Process  FROM c:\11.evtx where EventID=4688"

 

最后

欢迎关注个人微信公众号:Bypass--,每周原创一篇技术干货。 

 

 

 参考链接:

取证实战:Windows日志分析

http://m.sohu.com/a/148102374_505860/?pvid=000115_3w_a

Winserver 2008事件日志-事件ID详解

https://blog.csdn.net/Jason_WangYing/article/details/62418008

常见登录类型日志分析

https://blog.csdn.net/zhulinu/article/details/52747984

Windows 7和Windows Server 2008 R2 安全事件的说明

https://support.microsoft.com/zh-cn/help/977519/description-of-security-events-in-windows-7-and-in-windows-server-2008

windows安全日志分析工具logparser用法详解

https://www.jb51.net/hack/384430.html

https://wenku.baidu.com/view/e86ad976e009581b6bd9ebcf.html

 

posted @ 2018-06-17 13:38 Bypass 阅读(...) 评论(...) 编辑 收藏
展开阅读全文
博主设置当前文章不允许评论。

日志分析

05-26

安全策略已传播,但有警告信息。 0x534 : 帐户名与安全标识间无任何映射完成。安全策略已传播,但有警告信息。 0x534 : 帐户名与安全标识间无任何映射完成。rn有关此问题的高级帮助可以在 http://support.microsoft.com 找到。rn查询 "troubleshooting 1202 events"。rn当在一个或多个组策略对象(GPO)中的用户帐户不能解析为一个 SID 时发生错误 0x534。导致此错误的原因可能是在用户权限或一个 GPO 的受限制的组分支中引用的用户帐户键入错误或已被删除。要解析此事件,请联系域的管理员,执行下列操作: rn1. 识别不能解析为一个 SID 的帐户:rn在命令行中,键入: FIND /I "Cannot find" %SYSTEMROOT%\Security\Logs\winlogon.logrn在 FIND 的输出中,"Cannot find" 后面的字符串就是有问题的帐户名。rn示例: Cannot find JohnDough。rn在这种情况下,用户名 "JohnDough" 的 SID 不能确定。这通常是因为帐户已经被删除,被重命名,或拼写错误(例如,"JohnDoe")。rn2. 用 RSoP 来识别特定的用户权限,受限制的组,和饱含有问题帐户的源 GPO:rna. 开始 -> 运行 -> RSoP.mscrnb. 查看“计算机配置\Windows 设置\安全设置\本地策略\用户权限分配”和“计算机配置\Windows 设置\安全设置\本地策略\受限制的组”的结果,查找用红色的 X 标记的错误。rnc. 对于任何用红色的 X 标记的用户权限或受限制的组,包含有问题的策略的相应 GPO 在标题为“源 GPO”的列中列出。注意产生错误的特定用户权限,受限制的组和包含的源 GPO。rn3. 从组策略中删除不能解析的帐户rna. 开始 -> 运行 -> MMC.EXErnb. 从“文件”菜单选择“添加/删除管理单元...”rnc. 从“添加/删除管理单元”对话框选择“添加...”rnd. 在“添加独立管理单元”对话框中选择“组策略对象编辑器”,然后单击“添加”rne. 在“选择组策略对象”对话框中,单击“浏览”按钮rnf. 在“浏览组策略对象”对话框中,选择“全部”选项卡rng. 对于在步骤 2 中识别出的每一个源 GPO,更正在步骤 2 中用红色的 X 标出的特定用户权限或受限制的组。这些用户权限或受限制的组可以通过删除或更正到在步骤 1 中识别出的有问题帐户的引用来进行更正。rnrnrnrn接着上面做在开始 -> 运行 -> RSoP.mscrnb. 查看“计算机配置\Windows 设置\安全设置\本地策略\用户权限分配”和“计算机配置\Windows 设置\安全设置\本地策略\受限制的组”的结果,查找用红色的 X 标记的错误。rn我在用户权限分配里面有个拒绝本地登录,跟拒绝从网络中访问此计算机是打红色XX的,里面有两个帐号分别是,Guest和SUPPORT_388945a0,接下来不知道要怎么处理,有谁能帮下忙吗? 论坛

weblogic 日志分析

04-30

以下是我的 weblogic 日志信息:rnrn####<2011-4-29 上午08时10分40秒 GMT> <> <> <> <1304064640660> <47% of the total memory in the server is free> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> element does not contain a for "controllerClass". Page Flow actions in this module may not be handled correctly.> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> element does not contain a for "controllerClass". Page Flow actions in this module may not be handled correctly.> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> element does not contain a for "controllerClass". Page Flow actions in this module may not be handled correctly.> rn####<2011-4-29 上午08时11分47秒 GMT> <[ACTIVE] ExecuteThread: '4' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064707061> rn####<2011-4-29 上午08时11分58秒 GMT> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064718785> element does not contain a for "controllerClass". Page Flow actions in this module may not be handled correctly.> rn####<2011-4-29 上午08时11分58秒 GMT> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064718785> rn####<2011-4-29 上午08时11分58秒 GMT> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064718785> rn####<2011-4-29 上午08时11分58秒 GMT> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064718800> element does not contain a for "controllerClass". Page Flow actions in this module may not be handled correctly.> rn####<2011-4-29 上午08时11分58秒 GMT> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <> <> <1304064718800> rnrnrnrn大家帮忙看下 会是什么问题 谢谢! 论坛

没有更多推荐了,返回首页