学习笔记-日志

最新推荐文章于 2024-08-21 09:30:44 发布
最新推荐文章于 2024-08-21 09:30:44 发布
阅读量376 收藏 1
点赞数
文章标签： 学习 数据库 服务器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sinat_35360663/article/details/127704778
版权

日志

前言

在 windows 系统的运行过程中会不断记录日志信息，根据种类可以分为windows日志(事件日志)、应用程序及服务日志,这些日志信息在取证和溯源中非常重要。

审核策略

Windows Server 2008 R2 系统的审核功能在默认状态下并没有启用 ，建议开启审核策略，若日后系统出现故障、安全事故则可以查看系统的日志文件，排除故障，追查入侵者的信息等。

开始 --> 管理工具 --> 本地安全策略 --> 本地策略 --> 审核策略

事件查看

开始-运行，输入 eventvwr.msc 打开事件查看器，查看日志

可以看到，事件查看器将日志分成了2大类，windows日志、应用程序和服务日志，windows日志中又有应用程序、安全、setup、系统、forwarded event这几种事件类型。

事件日志

Windows事件日志文件实际上是以特定的数据结构的方式存储内容，其中包括有关系统，安全，应用程序的记录。每个记录事件的数据结构中包含了9个元素(可以理解成数据库中的字段)：日期/时间、事件类型、用户、计算机、事件 ID、来源、类别、描述、数据等信息。运维人员可以根据日志取证，了解计算机所发生的具体行为。

事件级别

在事件日志中有5个事件级别。

  • 信息

    信息事件指应用程序、驱动程序或服务的成功操作的事件。

  • 警告

    警告事件指不是直接的、主要的，但是会导致将来发生问题的事件。例如，当磁盘空间不足或未找到打印机时，都会记录一个“警告”事件。

  • 错误

    错误事件指用户须知道的重要的问题，通常包括功能和数据的丢失。例如,如果一个服务不能作为系统引导被加载，那么它将会产生一个错误事件。

  • 成功审核

    成功的审核安全访问尝试，主要是指安全性日志，这里记录着用户登录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录等事件，例如所有的成功登录系统都会被记录为“ 成功审核”事件。

  • 失败审核

    失败的审核安全登录尝试，例如用户试图访问网络驱动器失败，则该尝试会被作为失败审核事件记录下来。

事件ID

Windows事件日志中记录的信息中，关键的要素包含事件级别、记录时间、事件来源、事件ID、事件描述、涉及的用户、计算机、操作代码及任务类别等。

Windows 的日志以事件 id 来标识具体发生的动作行为，可通过下列网站查询具体 id 对应的操作

事件 ID说明
1102清理审计日志
4624账号成功登录
4625账号登录失败
4768Kerberos 身份验证(TGT 请求)
4769Kerberos 服务票证请求
4776NTLM 身份验证
4672授予特殊权限
4720创建用户
4726删除用户
4728将成员添加到启用安全的全局组中
4729将成员从安全的全局组中移除
4732将成员添加到启用安全的本地组中
4733将成员从启用安全的本地组中移除
4756将成员添加到启用安全的通用组中
4757将成员从启用安全的通用组中移除
4719系统审计策略修改

每个成功登录的事件都会标记一个登录类型，不同登录类型代表不同的方式：

登录类型描述说明
2交互式登录(Interactive)用户在本地进行登录。
3网络(Network)最常见的情况就是连接到共享文件夹或共享打印机时。
4批处理(Batch)批处理(为批处理程序保留)
5服务(Service)服务启动(服务登录)
7解锁(Unlock)屏保解锁。
8网络明文(NetworkCleartext)登录的密码在网络上是通过明文传输的，如FTP、IIS登录验证。
9新凭证(NewCredentials)使用带/Netonly参数的RUNAS命令运行一个程序。
10远程交互，(RemoteInteractive)通过终端服务、远程桌面或远程协助访问计算机。
11缓存交互(CachedInteractive)缓存域证书登录

案例:查看系统账号登录情况

  1. 开始-运行，输入 eventvwr.msc
  2. 在事件查看器中，Windows日志 --> 安全，查看安全日志；
  3. 在安全日志右侧操作中，点击 筛选当前日志 ，输入事件 ID 进行筛选。
    • 4624 --登录成功
    • 4625 --登录失败
    • 4634 -- 注销成功
    • 4647 -- 用户启动的注销
    • 4672 -- 使用超级用户(如管理员)进行登录
  4. 输入事件 ID：4625 进行日志筛选，发现事件 ID：4625，事件数 175904，即用户登录失败了 175904 次，那么这台服务器管理员账号可能遭遇了暴力猜解。

案例:查看计算机开关机的记录

  1. 开始-运行，输入 eventvwr.msc
  2. 在事件查看器中，Windows日志 --> 系统，查看系统日志；
  3. 在系统日志右侧操作中，点击 筛选当前日志 ，输入事件 ID 进行筛选。其中事件 ID 6006 ID6005、 ID 6009 就表示不同状态的机器的情况(开关机)。
    • 6005 信息 EventLog 事件日志服务已启动。(开机)
    • 6006 信息 EventLog 事件日志服务已停止。(关机)
    • 6009 信息 EventLog 按ctrl、alt、delete键(非正常)关机
  4. 输入事件 ID：6005-6006进行日志筛选，发现了两条在 2018/7/6 17:53:51 左右的记录，也就是我刚才对系统进行重启的时间。

windows日志类型

系统内置的三个核心日志文件(System，Security和Application)默认大小均为 20480KB(20MB)，记录事件数据超过 20MB 时，默认系统将优先覆盖过期的日志记录。其它应用程序及服务日志默认最大为 1024KB，超过最大限制也优先覆盖过期的日志记录。

  • 应用程序

    包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于问题的解决。

    默认位置: %SystemRoot%\System32\Winevt\Logs\Application.evtx

  • 系统

    记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。

    默认位置: %SystemRoot%\System32\Winevt\Logs\System.evtx

  • 安全

    包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。

    默认位置: %SystemRoot%\System32\Winevt\Logs\Application.evtx

  • 转发事件

    日志用于存储从远程计算机收集的事件。若要从远程计算机收集事件，必须创建事件订阅。

    默认位置: %SystemRoot%\System32\Winevt\Logs\ForwardedEvents.evtx

应用程序及服务日志

  • Internet Explorer

    IE浏览器应用程序的日志信息，默认未启用，需要通过组策略进行配置。

    默认位置: Internet Explorer.evtx

  • Microsoft

    Microsoft文件夹下包含了200多个微软内置的事件日志分类，只有部分类型默认启用记录功能，如远程桌面客户端连接、无线网络、有线网路、设备安装等相关日志。

    默认位置: 详见日志存储目录对应文件

  • Microsoft Office Alerts

    微软Office应用程序(包括Word/Excel/PowerPoint等)的各种警告信息，其中包含用户对文档操作过程中出现的各种行为，记录有文件名、路径等信息。

    默认位置: OAerts.evtx

  • Windows PowerShell

    Windows自带的PowerShell应用的日志信息。

    默认位置: Windows PowerShell.evtx

日志文件格式

系统事件日志主要保存的类型为：*.evtx，*.xml，*.txt，*.csv。对于后三种文件格式已经比较了解，现在分析下 evtx 后缀额格式。事件日志(evtx)文件是一种二进制格式的文件。

Source & Reference

点击关注，共同学习！安全狗的自我修养

github haidragon

https://github.com/haidragon

C-haidragon
关注
加密空间日志查看器_技术干货 | windows日志检索和分析
weixin_39971172的博客
01-26 580
前言在运维工作过程中，如若windows服务器被入侵，往往需要检索和分析相应的安全日志。除了安全设备，系统自带的日志就是取证的关键材料，但是此类日志数量庞大，需要高效分析windows安全日志，提取出我们想要的有用信息，就显得尤为关键。本文将介绍windows的日志类型、存放位置、检索方案以及方便检索的工具使用方法。Windows日志在windows系统的运行过程中会不断记录日志信息，根...
MybatisPlus学习笔记------配置日志
太阳以西?的博客
05-18 3992
MybatisPlus官网: MyBatis-Plus 在application.yml配置文件中配置mybatis-plus 日志 ## mybatis-plus 日志 #mybatis-plus: # configuration: # log-impl: org.apache.ibatis.logging.stdout.StdOutImpl ## 配置日志级别 #logging: # level: # root: info logback日志配置文件 注意：文件名为logback-s
加密空间日志查看加密空间日志查看
06-11
加密空间日志查看加密空间日志查看加密空间日志查看加密空间日志查看
EVTX解析工具教程：深入Windows事件日志
最新发布
gitblog_00370的博客
08-21 500
EVTX解析工具教程：深入Windows事件日志 evtxevtx - 一个用于解析 Windows 事件日志文件 (.evtx) 的命令行工具，由 Eric Zimmerman 开发，适用于需要进行事件日志分析的系统管理员和安全分析师。项目地址:https://gitcode.com/gh_mirrors/evt/evtx 项目介绍 EVTX 是一个强大的Python库，专门用于读取、解析和操...
SPL - QQ空间日志查看工具
04-04
无需知道对方QQ空间的密码就可看到对方的日志 ---------------------------------------- 网上已经有相关的工具了，但要么用不了，要么就N多广告 ，或者还要上专门的网站看，很不方便。所以制作了这个工具，完全免费、无需注册、没有广告
sysmon-queries:使用 microsoft logparser 解析 sysmon 事件日志文件的查询
06-15
系统查询 使用 Microsoft logparser 解析 sysmon 事件日志文件的查询。 Sysmon 事件格式 Sysmon 在 Windows 事件日志查看器中创建事件日志条目，但从列表视图中看不到详细信息。 可以在单个事件详细信息中看到详细信息，但很难过滤 Sysmon 数据的详细信息。 用法 这些查询允许使用 logparser 工具从 sysmon 数据字段中提取各个值。 这会将结果导出为多种格式以供进一步分析。 它们还可以与日志解析器 lizard 一起使用以在 GUI 中查看数据 我创建了不同的查询，因为生成的不同事件 ID 之间的字段不同。 示例查询 ###process-create-terminate 查询合并进程开始（1）和进程终止（5）的记录。 ###process-start-stop-by-user 查询以显示由指定用户登录启动的所有进
面向对象---异常处理,约束,MD5加密,日志处理,
dbvw33491的博客
09-29 106
思维导图: 1.异常处理 　　首先说什么是异常处理,异常处理就是在程序运行过程中产生的错误,不正常,其实我们在之前的时候已经见过了很多了,只要一报错,就是异常处理 　　我们先拿其中一个举例子 def chufa(a,b) : try : ret = a / b return ret except ZeroDivisi...
python学习笔记-王纯业
03-06
以下是一个Python学习笔记的大纲，涵盖了从基础到进阶的内容。你可以根据自己的学习进度和理解情况，逐步填充和完善这个大纲。 Python学习笔记大纲 一、Python基础 Python简介 Python的历史 Python的特点和应用...
springmvc学习笔记-springmvc注解开发.zip
05-10
在"springmvc学习笔记--springmvc注解开发.zip"这个压缩包中，我们可以深入探讨Spring MVC的注解驱动开发方式，这是一种简洁且高效的开发模式。 1. **Spring MVC基础**： Spring MVC的核心组件包括...
自我学习笔记--LUA;python:网络编程等
06-10
【标题】中的“自我学习笔记--LUA;python:网络编程等”表明这是一份包含LUA和Python语言，特别是关于网络编程的学习资料。LUA和Python都是编程语言，广泛应用于游戏开发、脚本编写、自动化任务以及网络服务等领域。 ...
AN0022-RT-Thread-ulog 日志组件应用笔记 - 基础篇1
08-03
《RT-THREAD ULOG 日志组件应用笔记 - 基础篇》 本文旨在深入解析RT-THREAD操作系统中的ULOG日志组件，帮助开发者更好地理解和使用这一强大的日志记录工具。RT-THREAD ULOG是RT-THREAD实时操作系统的一个重要组成...
window计算机日志分析详解,系统基础知识:筛选Windows日志与借助Windows日志分析故障...
weixin_35400275的博客
07-28 1558
系统基础知识:筛选Windows日志与借助Windows日志分析故障 我们最关心的事情，一定是我们Windows 7系统的安全，我们学习Windows事件查看器的最终目的，也是希望通过WIndows事件查看器更加了解我们的系统，保证系统安全。下面我们就阿里一起了解下Windows 7系统下筛选Windows日志，以及通过Windows日志分析系统故障的方法，虽然真正分析系统故障需要经验，但是简单了...
Python 获取WindowsEvtx日志文件并解析
Black794的博客
04-21 3995
Python 获取WindowsEvtx日志文件并解析 demo如下（随便写的）: import html from xml.dom import minidom import Evtx.Evtx as evtx path = r"C:\Windows\Sysnative\winevt\Logs\Security.evtx" with evtx.Evtx(path) as log: for record in log.records(): timestamp = record.t
Windows 事件日志审核
ITmoster的博客
05-12 1731
EventLog Analyzer 是一个全面的日志管理工具，可在单个控制台上支持 Windows 事件日志以及其他日志源。该解决方案通过基于代理和无代理的方法自动收集日志。
Windows取证 evtx 文件分析
xxfsa的博客
07-29 1435
在成功渗透到柠檬思想者团伙后，我们已经获得了他们目前的位置-英国。我们已经从一个帮派成员的电脑上获得了一些安全日志，但需要一些帮助来回答与这些相关的信息。附件下载:https://pan.baidu.com/s/1dUMkpUQFN6mdaQyC11zWqQ?pwd=liqk提取码：liqk。
学习笔记-协议
人饭子的博客
11-05 824
协议 LLMNR 链路本地多播名称解析(LLMNR)是一个基于域名系统(DNS)数据包格式的协议，IPv4 和 IPv6 的主机可以通过此协议对同一本地链路上的主机执行名称解析。Windows 操作系统从 Windows Vista 开始就内嵌支持，Linux 系统也通过 systemd 实现了此协议。它通过 UDP 5355 端口进行通信，且 LLMNR 支持 IPV6。 LMNR 进行名称...
查看evt文件( windows 日志文件 )
ph11204的专栏
03-14 6231
查看evt文件 如：C:\WINDOWS\system32\config中各种日志文件： 打开开始菜单->运行,输入Eventvwr.msc或开始->控制面版->管理工具->事件查看器,然后点操作,找到*.evt文件打开即可。 打开的时候需要选择日志类型，比如系统日志或安全日志。 为了方便，也可以保存为TXT格式，这样以后就可以用记事本直接查看了。方法是：点击操作，选择
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

C-haidragon

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值