LogParse-Windows系统日志分析

最新推荐文章于 2024-04-23 09:40:15 发布
最新推荐文章于 2024-04-23 09:40:15 发布
阅读量840 收藏 1
点赞数
分类专栏： web安全 文章标签： 安全 渗透测试
原文链接：https://www.cnblogs.com/17bdw/p/10312918.html
版权

目录

 

Windows系统日志分析

一、前言

二、Windows登录类型

事件 ID（Event ID）

事件类型(EventType)

三、分析思路

关注节点

关联分析

四、LogParse分析语法

显示方式

筛选语句

五、Windows日志分析

参考

Windows系统日志分析

一、前言

本文将对常见的日志类型，利用微软日志分析工具（LogParser）结合已经掌握的恶意代码分析Windows系统日志，关联出系统的异常。

数据来源于Windows的事件查看器中的*.evtx文件，eventvwr.msc。

  • System日志
  • Security日志
  • Setup日志

除此之外还要关注木马病毒的信息

  • 注册表日志
  • 文件修改时间

 

二、Windows登录类型

安全日志登录部分的事件 ID 和登录类型代码都具有一定含义：

事件 ID（Event ID）

Event ID(2000/XP/2003)Event ID(Vista/7/8/2008/2012)描述
5284624成功登录
5294625失败登录
6804776成功/失败的账户认证
6244720创建用户
6364732添加用户到启用安全性的本地组中
6324728添加用户到启用安全性的全局组中
29347030服务创建错误
29447040IPSEC服务服务的启动类型已从禁用更改为自动启动
29497045服务创建

事件类型(EventType)

登录类型登录类型描述
2Interactive用户登录到本机
3Network用户或计算手机从网络登录到本机，如果网络共享，或使用 net use 访问网络共享，net view 查看网络共享
4Batch批处理登录类型，无需用户干预
5Service服务控制管理器登录
7Unlock用户解锁主机
8NetworkCleartext用户从网络登录到此计算机，用户密码用非哈希的形式传递
9NewCredentials进程或线程克隆了其当前令牌，但为出站连接指定了新凭据
10Remotelnteractive使用终端服务或远程桌面连接登录
11Cachedlnteractive用户使用本地存储在计算机上的凭据登录到计算机（域控制器可能无法验证凭据），如主机不能连接域控，以前使用域账户登录过这台主机，再登录就会产生这样日志
12CachedRemotelnteractive与 Remotelnteractive 相同，内部用于审计目的
13CachedUnlock登录尝试解锁

 

三、分析思路

关注节点

  • 入侵时间段
  • IP（外网IP选取攻击者IP、监控到有被远控的内网IP）
  • 登录成功类型、尝试登录类型

关联分析

1、得到已经发现WEBSHELL、远控木马的创建时间

2、搜索注册表信息，通过注册表信息获取注册表键值创建时间再找出同一时间创建的文件。

3、整合文件创建的时间、注册表键值创建时间找出的新文件时间整合分析系统日志，把整个行为关联起来。

 

四、LogParse分析语法

显示方式

-i:EVT是指定分析的日志，也可以分析CSV 、IISW3C 等日志格式。

# 网格显示

Logparser.exe –i:EVT –o:DATAGRID “SELECT * FROM Security.evtx”

# CSV显示

Logparser.exe –i:EVT –o:DATAGRID “SELECT * FROM Security.evtx”

筛选语句

LogParse直接SQL语句，详细SQL语句使用说明在自带的CHM说明里。结合分组、提取语句就可以统计出源IP，时间，用户名。

只需要取出关键列进行判断或者比对，就可以从庞大的windows安全日志中提取出安全事件发生后想要关联的信息。

  • EXTRACT_TOKEN()
EXTRACT_TOKEN(列名,字段数,‘分隔符’)


EXTRACT_TOKEN(Strings, 8, '|')

输出结果：

  • 分组别名显示
字段名 as 别名

LogParser.exe -i:EVT -o:DATAGRID "SELECT TimeGenerated as LoginTime FROM Security.evtx where EventID=4624"

输出结果：

  • 按年月日筛选

使用timestamp('年-月-日', 'yyyy-MM-dd')函数

LogParser.exe -i:EVT -o:DATAGRID "SELECT * FROM Security.evtx where TO_DATE(TimeGenerated) between timestamp('2018-10-17', 'yyyy-MM-dd') and timestamp('2018-10-27', 'yyyy-MM-dd')" -rtp:-1
  • 按时间筛选
LogParser.exe -i:EVT -o:DATAGRID "SELECT * FROM Security.evtx where to_time(TimeGenerated) between timestamp('13:33:00', 'hh:mm:ss') and timestamp('13:35:00', 'hh:mm:ss')" -rtp:-1
  • 按照事件ID分析

4624是登录成功的ID信息，指定某个关键列中的事件ID显示出结果。

LogParser.exe -i:EVT -o:DATAGRID "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username,EXTRACT_TOKEN(Strings, 8, '|') as LogonType,EXTRACT_TOKEN(Strings, 17, '|') AS ProcessName,EXTRACT_TOKEN(Strings, 18, '|') AS SourceIP FROM Security.evtx where EventID=4624“

 

五、Windows日志分析

Security日志

筛选出登录成功的事件（4624）中的登录时间、用户名、登录类型、进程名、源IP。

关注点：

1、管理员登录时间段是不是正常时间
2、木马运行的时间和管理员登录时间对不对应

语句：

LogParser.exe -i:EVT -o:DATAGRID "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username,EXTRACT_TOKEN(Strings, 8, '|') as LogonType,EXTRACT_TOKEN(Strings, 17, '|') AS ProcessName,EXTRACT_TOKEN(Strings, 18, '|') AS SourceIP FROM Security.evtx where EventID=4624 AND TO_DATE(TimeGenerated) between timestamp('2018-10-17', 'yyyy-MM-dd') and timestamp('2018-10-27', 'yyyy-MM-dd')" -rtp:-1

System日志

关注点：

1、时间段
2、服务名、服务路径

语句：

LogParser.exe -i:EVT -o:DATAGRID "SELECT TimeWritten,EventID,EventType,EventTypeName,SourceName,EXTRACT_TOKEN(Strings,0,'|') as service_name,EXTRACT_TOKEN(Strings,1,'|') as service_path,Message from system.evtx where TO_DATE(TimeGenerated) between timestamp('2018-10-19', 'yyyy-MM-dd') and timestamp('2018-10-20', 'yyyy-MM-dd')" -rtp:-1"

Application日志

关注点：

1、程序运行时间

语句：

LogParser.exe -i:EVT -o:DATAGRID "SELECT * from Application.evtx where TO_DATE(TimeGenerated) between timestamp('2018-10-17', 'yyyy-MM-dd') and timestamp('2018-10-27', 'yyyy-MM-dd')" -rtp:-1"

 

参考

用LogParser分析Windows日志

https://yq.aliyun.com/articles/404198

Windows 系统安全事件应急响应

https://xz.aliyun.com/t/2524#toc-5

LogParser: Filter records for specific time frame/date

https://blogs.msdn.microsoft.com/jaskis/2009/08/10/logparser-filter-records-for-specific-time-framedate/

转载：https://www.cnblogs.com/17bdw/p/10312918.html

New6ie
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
日志分析-LogParser使用方法
weixin_41073877的博客
01-21 1万+
今天给大家介绍如果利用LogParser和LogParser Studio 对常见的日志文件进行统计分析。 LogParser是微软公司提供的一款日志分析工具，可以对基于文本格式的日志文件、XML文件和CSV文件，以及Windows操作系统上的事件日志、注册表、文件系统等等进行处理分析，分析结果可以保存在基于文本的自定义格式中、SQL或者是利用各种图表进行展示，接下来给大家介绍下如何安装使用。 LogParser安装： 大家可以在微软官网下载、安装。安装过程很简单，一步到位。 下载链接：http://www
logparser日志分析详解
qq_26243045的博客
02-15 964
Logparser是微软的一款日志分析工具，使用方便功能强大。 支持的日志类型： IISW3C,NCSA,IIS,IISODBC,BIN,IISMSID,HTTPERR,URLSCAN,CSV,TSV,W3C,XML,EVT, ETW,NETMON, REG, ADS, TEXTLINE, TEXTWORD, FS,COM
SWG Log Parse-开源
04-17
一个Perl脚本，用于解析SWG游戏聊天日志文件，以单独分解聊天选项卡。 用它来捕捉公会会议，热点讨论，战后分析和RP冒险！
LOG parse Studio,你的Debug助手!
技术与管理的平衡木-
06-30 3647
前面我们讲了一些Log parse 脚本达到的一些效果,Log parse 有点难度的地方就是需要去分析相应的数据结构和语句.这貌似是天生IT 的弱项.Log parse studio 出现,解决一些代码和数据分析客们害怕面对的一些东西,这个部分我们可以先来看看log parse studio 需求: 必须安装log parse .必须安装Office 2003 web compoments.下载
利用Log parse 分析Exchange 性能并产生相应报表！(1)-Agent Log!
技术与管理的平衡木-
05-12 3322
这是一个基于微软官方的博客翻译的一个主题，最近发现了Log parse 这个工具真的不错，能够很方便的帮我们分析相关的问题。我们接下来的系列就是利用Log parse 工具来生成相应的报表或者分析出当前数据状况！我们新来看下使用Log parse，log parse 是一个日志分析工具，他可以分析各类不同的数据日志，我是Exchange MVP 嘛，就用他分析Exchange 相关的日志，再次申明
利用Log parse 分析Exchange 性能并产生相应报表！(1)-Protocol 协议 Log!（2）
技术与管理的平衡木-
05-12 7126
我们分析下发送量最大的来源IP和地址，我们需要执行两个命令，第一个命令是将用户从日志中读取并写入XML文件，第二个命令是读取XML文件并以图形方式呈现！我们先执行第一条命令将数据写入XML文件："C:\Program Files (x86)\Log Parser 2.2\logparser.exe" "SELECT TOP 10 EXTRACT_PREFIX(remote-endpoint,0,'
应急响应之windows日志分析工具logparser使用
u013930899的博客
06-23 5594
windows日志分析工具logparser使用介绍
log parse java,一个强大的LogParser的UI工具--logparserlizard简介
weixin_35167817的博客
03-16 475
日志分析，特别是IIS日志，一般人都会想到LogParser工具，的确很强。但是命令行的操作界面令很多非专业的管理人员望而生畏，现在好了，有一个可视化的LogParser的UI工具可以使用了！ Log Parser Lizard 1.1 ， 这是一款用Vc++.net写的logParser增强工具。主要有以下特点： 1、封装了logParser命令，带图形界面，大大降低了LogParser的使用...
logparser使用：解析nginx-access.log文件
码上中年的博客
04-13 1469
1. java-maven加入依赖 <dependency> <groupId>nl.basjes.parse.httpdlog</groupId> <artifactId>httpdlog-parser</artifactId> <version>5.7</version> </dependency> 2. 定义log日志格式 2.1 理解nginx的access.log文件 ngin
Windows系统日志分析
难办就别办的博客
04-13 557
了解Windows系统日志，了解LogParser工具的基本用法
python-log-parse-example:Python中的简单日志解析示例
05-04
python-log-parse-example Python中的简单日志解析示例 要运行此示例，请克隆或下载此存储库，然后在终端运行： python parse_logs.py
parse-server漏洞分析.pdf
04-22
parse-server漏洞分析.pdf
Parse-SDK-Android：用于Parse平台的Android SDK
01-29
解析Android版SDK 该库可让您从Android应用访问强大的Parse云平台。 有关Parse及其功能的更多信息，请，和。 相依性 将此添加到您的根build.... implementation " com.github.parse-community.Parse-SDK-Android:go
parse-scaffold:parse 示例脚手架，集成parse-server、parse-dashboard、parse-swagger
05-24
parse 示例脚手架，集成parse-server、parse-dashboard、parse-swagger Installation clone本项目后： cd parse-scaffold npm install npm start 启动后，访问：https://${parse_host}:${parse_port}/，显示： 欢迎...
区块链安全应用----压力测试
2201_76041915的博客
04-17 947
有一个临时的解决方案，进入node_modules/@hyperledger/caliper-fisco-bcos目录，编辑该目录下的package.json文件，在"dependencies"中添加一项"secp256k1": “^3.8.0”，随后在该目录下执行npm i，更新完成后测试程序就能启动了。变动文件二：绿色为新增的代码，红色为源代码，需要删除。在部署完成后，可以通过。：用于指定需要测试的区块链平台，即受测系统（***S***ystem ***u***nder ***T***est）；
跨境电商测评攻略：如何安全有效地提升业绩？
最新发布
zcwz888的博客
04-23 213
但自养号需要解决技术层面的问题，如果是买设备或者软件这种，可能上一秒还能用，下一秒就因为平台风控的原因批量封号，因为平台会通过ip 获取到设备的型号，地区码，监管码，主板码，WIFI地址，甚至是颜色，指纹码，IP地址等等大概几十个参数，参数关联后，触发平台机审，导致的砍单，封号。这时候要好好规划一下测评的事情，做美客多到最后你会发现，测评是最有效果的，因为测评的本质就是玩弄流量，模仿用户的真实行为让流量变得更多，从而得到跨境电商平台规则的加成，竞争激烈的产品不测评和别人竞争。
黑龙江—等保测评三级安全设计思路
2403_84237550的博客
04-19 805
本方案在对信息系统可能面临的安全威胁进行分析的基础上，结合安全域的划分，从物理层、网络层、系统层、应用层、数据层和管理层几个安全层面进行了整体的安全设计，在整体保障框架的指导下，综合多种有效的安全防护措施，进行多层和多重防御，实现纵深防御。3、体现了分域防护的思想。不同的安全等级要求具有不同的基本安全保护能力，实现基本安全保护能力将通过选用合适的安全措施或安全控制来保证，可以使用的安全措施或安全控制表现为安全基本要求，依据实现方式的不同，信息系统等级保护的安全基本要求分为技术要求和管理要求两大类。
浏览器工作原理与实践--安全沙箱：页面和系统之间的隔离墙
echohuangshihuxue的博客
04-17 1028
好了，今天的内容就介绍到这里，下面我来总结下本文的主要内容。首先我们分析了单进程浏览器在系统安全方面的不足，如果浏览器存在漏洞，那么黑客就有机会通过页面对系统发起攻击。因此在设计现代浏览器的体系架构时，就考虑到这个问题了。于是，在多进程的基础之上引入了安全沙箱，有了安全沙箱，就可以将操作系统和渲染进程进行隔离，这样即便渲染进程由于漏洞被攻击，也不会影响到操作系统的。
等保测评三级等保—安全设计思路
2403_84237550的博客
04-18 986
各个环节的防护、检测、响应和恢复等多种安全措施和手段，对系统进行动态的、综合的保护，在攻击。具体操作的安全策略，并在充分利用信息安全基础设施的基础上，构建信息系统的安全技术体系、安全。管理体系，形成集防护、检测、响应、恢复于一体的安全保障体系，从而实现物理安全、网络安全、系。动态性，还需要建立安全风险评估机制，在安全风险评估的基础上，调整和完善安全策略，改进安全措。证系统的安全性是一个巨大的挑战，对信息系统划分安全区域，进行层次化、有重点的保护是有保证系。数据的分类确定该区域的安全风险等级。
parse-dxf-master
08-03
parse-dxf-master可以读取DXF文件，并将其转换为更方便处理的数据结构，以便后续的操作和分析。它能够识别DXF文件中的各种实体，如点、线、圆、多边形等，并提取出它们的位置、大小、颜色等属性信息。 通过parse-...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值