入侵溯源之总体概括
主体思路
常规出现的、容易被用户感知的异常点：
- 网页被篡改、挂黑页、丢失文件
- 数据库被篡改、web系统运行异常影响可用性、web用户密码被篡改等
- 主机出现运行异常反应卡顿、文件被加密、主机系统出现其他用户等
- 主机流量层出现大量异常流量
除此外还需要根据用户现场的清空做一些信息收集工作，如：
- 出现异常的时间点
- 异常服务器的主要业务清空
- 大致的网络拓扑是不是再DMZ分区
- 是否可以公网访问
- 开放了哪些端口
- 是否有打补丁
- 使用了什么样的web环境、框架
- 最近是否有过变更
- 有没有什么安全设备之类
WEB安全追踪
中间件日志分析
Apache
/var/log/httpIIS
默认在系统目录下的Logfiles下的目录中Tomcat
默认在tomcat安装目录下的logs文件夹下Nginx
默认在nginx.conf或者vhost的conf文件中分析工具_Web-log-parser
https://github.com/JeffXue/web-log-parser
系统安全追踪
Linux
常用日志分析
一般存放于/var/log目录下
日志文件 | 基本详情 |
|---|---|
/var/log/messages | 关于linux操作系统信息，包括系统启动信息等 |
/var/log/boot.log | 系统启动日志 |
/var/log/lastlog | 记录所有用户的近期信息，也可用lastlog命令查看具体内容 |
/var/log/maillog | 邮件日志信息 |
/var/log/cron | Cron计划任务相关信息的日志 |
/var/log/secure | 系统安全、验证以及授权信息的日志 |
/var/log/faillog | 用户登录失败信息，包括失败次数、错误登录命令等 |
/var/log/btmp | 所有登录失败信息，包括（远程服务、IP地址等） |
/var/log/auth.log | 包含系统授权信息，包括用户登录和使用的权限机制等信息 |
常用命令
- grep 使用正则表达式搜索文本
- sed 文本处理工具，配合正则使用
- sort 依据不同的数据类型进行排序
- awk 文本处理工具，适用于数据分析并生成报告
- history 命令行历史记录
Windows
常用日志分析
一般用 eventvwr 命令打开事件查看器
默认分为三类：l应用程序、安全、性统 以evt文件形式存储%systemroot%\system32\config目录
参考文章
https://www.freebuf.com/articles/system/175370.html https://www.freebuf.com/column/202350.html
本文参与 腾讯云自媒体同步曝光计划，分享自作者个人站点/博客。
原始发表：2020-05-13，如有侵权请联系 cloudcommunity@tencent.com 删除
评论
登录后参与评论
推荐阅读
目录
相关产品与服务
Elasticsearch Service
腾讯云 Elasticsearch Service（ES）是云端全托管海量数据检索分析服务，拥有高性能自研内核，集成X-Pack。ES 支持通过自治索引、存算分离、集群巡检等特性轻松管理集群，也支持免运维、自动弹性、按需使用的 Serverless 模式。使用 ES 您可以高效构建信息检索、日志分析、运维监控等服务，它独特的向量检索还可助您构建基于语义、图像的AI深度应用。
腾讯云开发者
