42-5 应急响应之日志分析

已于 2024-05-27 15:45:23 修改
阅读量93 收藏
点赞数
分类专栏： Web安全攻防全解析 文章标签： 网络
于 2024-05-26 23:50:32 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43263566/article/details/139222438
版权
本文介绍了Windows系统中系统日志、安全性日志和应用程序日志的定位、内容和重要事件ID，用于应急响应和故障排查。同时，讲解了Linux系统下利用lastb、last和lastlog命令查看登录相关日志信息。
摘要由CSDN通过智能技术生成

一、Windows 系统日志排查

1）日志概述

在 Windows 2000 专业版、Windows XP 和 Windows Server 2003 中：

  • 系统日志的位置为 C:\WINDOWS\System32\config\SysEvent.evt
  • 安全性日志的位置为 C:\WINDOWS\System32\config\SecEvent.evt
  • 应用程序日志的位置为 C:\WINNT\System32\config\AppEvent.evt

在 Windows Vista、Windows 7、Windows 8、Windows 10、Windows Server 2008 及以上版本系统中：

  • 系统日志的位置为 %SystemRoot%\System32\Winevt\Logs\System.evtx
  • 安全性日志的位置为 %SystemRoot%\System32\WinevtLogs\Security.evtx
  • 应用程序日志的位置为 %SystemRoot%\System32\Winevt\Logs\Application.evtx

 %SystemRoot% 是一个系统环境变量，通常指向 Windows 系统目录的路径：%SystemRoot% 默认为 C:\Windows

了解本专栏 订阅专栏 解锁全文 超级会员免费看
狗蛋的博客之旅
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
[ 应急响应基础篇 ] evtx提取安全日志 & 事件查看器提取安全日志
xnxqwzy的博客
01-24 1451
在应急响应过程中，提取日志进行日志分析是必须的。这里简单介绍一下windows日志，以及采用evtx提取安全日志和事件查看器提取安全日志。Windows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。系统日志和应用程序日志存储着故障排除信息，对于系统管理员更为有用。
python-evtx, 用于最近 Windows 事件日志文件的纯 python 解析器( evtx ).zip
09-18
python-evtx, 用于最近 Windows 事件日志文件的纯 python 解析器( evtx ) python-evtx简介python-evtx是最近 Windows 事件日志文件( 具有文件扩展名的那些"。evtx")的纯 python 解析器。 模块提供对文件和块头。记录模板和事件条目的编程访问。 例如可以使用python从
Windows 取证之EVTX日志
kupePoem的专栏
08-30 2166
日志文件包含一个4KB的文件头加后面一定数量的64KB大小的块，一个块中记录一定数量（大约100条）的事件记录。每条事件记录包含其创建时间与事件 ID（可以用于确定事件的种类），因此可以反映某个特定的时间发生的特定的操作，取证人员可以根据日志文件来发现犯罪的过程。记录应用程序或系统程序运行方面的日志事件，比如数据库程序可以在应用程序日志中记录文件错误，应用的崩溃记录等。文件的记录满了，日志服务会覆盖最开始的记录，从头开始写入新的记录。事件查看器可以查看当前主机的事件日志，也可以打开保存的。
Windows应急响应 -Windows日志排查，系统日志，Web应用日志，
热门推荐
wangyuxiang946的博客
04-07 2万+
Windows系统日志存放在 C:\Windows\System32\winevt\Logs\目录下，使用系统自带的【事件查看器】来查看 WIN + R，输入 eventvwr，打开事件查看器。 系统日志：记录系统进程、设备磁盘活动等 安全日志：记录安全性事件，比如用户登录/注销/权限变更 应用程序日志：记录系统安装的应用程序软件的运行日志。 4624：登录成功 4625：登录失败 4634：注销本地登录用户 4647：注销远程登录的用户 4648：使用显式凭证尝试登录 4672：新登录的用户被分配管理员权
应急响应之日志分析1
08-08
1. 内核及系统日志message日志，一般内核及大多数系统消息都被记录到公共日志文件"/var/log/messages"中，而其他一些程序消息被记录到不同的
应急响应日志分析二1
08-08
应急响应日志分析二1
2024年网络安全技能竞赛应急响应之取证日志文件
12-20
1.从靶机服务器的FTP上下载日志文件，分析日志文件，将黑客成功登录系统所使用的IP地址作为Flag值提交； 2.黑客成功登录系统后修改了登录用户的用户名，将修改后的用户名作为Flag值提交； 3.黑客成功登录系统后成功...
应急响应取证-20210504.pdf
05-05
2. 识别阶段：通过监控系统和日志分析，及时发现和识别安全事件。 3. 分析阶段：对已发现的安全事件进行详细分析，确定事件的性质和影响范围。 4. 响应阶段：根据事件的性质采取相应的应对措施，如隔离、修复、...
应急响应木马日志溯源画像分析.pdf
10-15
应急响应木马日志溯源画像分析.pdf
探索Windows XML事件日志解析新境界：EVTX库
最新发布
gitblog_00095的博客
05-20 378
探索Windows XML事件日志解析新境界：EVTX库 evtxA Fast (and safe) parser for the Windows XML Event Log (EVTX) format项目地址:https://gitcode.com/gh_mirrors/ev/evtx 在系统监控和故障排查中，Windows的XML事件日志（EVTX）扮演着至关重要的角色。今天，我们向您推荐一...
【实战】服务隐藏与排查 | Windows 应急响应
jijisaq的博客
03-26 1423
攻击者通过创建服务进行权限维持过程中，常常会通过一些手段隐藏服务，本文主要演示通过配置访问控制策略来实现隐藏的方式以及排查方法的探索不包含通过修改内存中链表进行隐藏的方式。
应急响应篇-Windows 日志分析
cavathon的博客
03-23 256
在Windows系统中，日志包括：系统日志、安全性日志及应用程序日志。在Windows Server 2003之前日志的位置为：在Windows Vista以上的版本中除此之外，在Windows Vista以上的版本中还存在其他日志，这些日志存储在在窗口中输入eventvwr打开，查看相关的日志。
网络安全应急响应----11、日志分析
七天
03-24 1万+
文章目录一、Windows日志二、Linux日志三、Web日志3.1、IIS中间件日志3.2、Apache中间件日志3.3、Tomcat中间件日志3.4、Weblogic3.5、Nginx中间件日志 一、Windows日志 Windows日志记录着Windows系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件，掌握计算机在特定时间的状态，以及了解用户的各种操作行为，并且包括有关系统、安全、应用程序的记录。 Windows系统之后，日志文件通常分为系统日志(SysEvent) 、应用程序日
「干货」Linux 应急响应日志分析命令「详细总结」
橙留香Park的博客
02-25 6363
转移发布平台通知：将不再在CSDN博客发布新文章，敬请移步知识星球... ...
Linux应急响应学习
虚幻私塾
08-28 410
以空格作为分隔符，来将用户名和ip进行提取（用户登录失败的信息）通过在目录下/secure* 来查看登录的日志。通过grep 来将登录失败的用户过滤出来。
Window如何进行日志分析
weixin_46236101的博客
10-28 2854
0x01 Window事件日志简介 Windows系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。 Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。 系统日志 记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。 默认位置： %SystemRoot%\Syste
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

狗蛋的博客之旅

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值