日志分析是主机安全防护解决方案的重要组成,提供主机相关安全事件日志,支持 SQL 检索与查询,并提供可视化报表与统计,帮助用户快速排查入侵、溯源定位等安全运营工作。本文档将为您介绍如何使用日志分析功能。
限制说明
可收集日志数据,受主机防护版本限制如下。
日志大类 | 日志类型 | 日志描述 | 支持版本 |
主机资产日志 | 主机信息 | 包含主机实例 ID、IP、操作系统、地域、VPC、实例状态、是否安装主机安全客户端等主机信息。 说明: 仅主机的“同步时间”变更,其余信息不变,不会产生日志流水。 | 全部主机 |
| 资产指纹 | 包含资源监控、账号、端口、软件应用、进程、数据库、Web 应用、Web 服务、Web 框架、Web 站点、Jar 包、启动服务、计划任务、环境变量、内核模块、系统安装包。 说明: 仅资产指纹的“数据更新时间”变更,其余信息不变,不会产生日志流水。 | 专业版、旗舰版 |
客户端上报日志 | 客户端上报 | 主机原始日志(包含如:系统认证和授权信息、系统安全信息、系统消息、系统审计信息等内容);DNS 日志、进程快照日志、网络五元组日志、文件监控日志、登录流水日志。 | 基础版及以上 |
告警日志 | 入侵检测 | 文件查杀(恶意文件)、文件查杀(异常进程)、异常登录、密码破解、恶意请求、高危命令、本地提权、反弹 Shell。 | 专业版、旗舰版 |
| 漏洞管理 | 应急漏洞、Linux 软件漏洞、Windows 系统漏洞、Web-CMS 漏洞、应用漏洞。 | 专业版、旗舰版 |
| 基线管理 | 安全基线。 | 专业版、旗舰版 |
| 高级防御 | Java 内存马、核心文件监控。 | 旗舰版 |
| | 网络攻击。 | 专业版、旗舰版 |
| 客户端相关 | 客户端离线、客户端卸载。 | 基础版及以上 |
使用日志投递功能,须先 购买腾讯云消息队列 Ckafka 实例,按照需要投递的日志量来选购对应 Ckafka 实例规格。
日志投递功能,仅支持使用一个消息队列 Ckafka 账号进行投递。
根据《网络安全法》规定,日志存储时长不少于6个月,推荐每台服务器配置20-40GB存储容量,以便采集和留存日志数据。
操作指南
1. 登录 主机安全控制台。
2. 在左侧导航栏,选择日志分析,可进行日志存储设置、日志查询、日志投递等操作。
![](https://qcloudimg.tencent-cloud.cn/image/document/f67170c6f359ac09659094b28e679b5e.png)
日志存储
单击日志存储设置,弹窗如下,在存储设置中,可查看当前日志存储情况,可对存储内容、存储时长进行配置。在存储记录中,可查看历史每月最后一天零点日志存储的情况,默认倒序展示。
![](https://qcloudimg.tencent-cloud.cn/image/document/c6353858cd3ce5e3a8dc210c92e8313a.png)
查看日志
在日志分析页面,支持按照如下方式筛选日志。
按时间或类型筛选:在日志分析页面上方,支持按时间和日志类型筛选日志,选定时间范围或日志类型,单击确定即可。
![](https://qcloudimg.tencent-cloud.cn/image/document/ab0c5f6e3c332a0fdec7666fa375a55a.png)
按字段值筛选:在日志分析页面上方,支持搜索框输入字段值筛选、选择字段匹配筛选两种方式。
搜索框输入字段值筛选:参考下图示例,在搜索框中输入想要搜索的字段和字段值,单击![](https://qcloudimg.tencent-cloud.cn/image/document/688b0f251ce97d79d8507d5d2572def4.png)
即可进行筛选。
![](https://qcloudimg.tencent-cloud.cn/image/document/688b0f251ce97d79d8507d5d2572def4.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/830432faf0ba9849d71b4e4670f02a3f.png)
选择字段匹配筛选:单击![](https://qcloudimg.tencent-cloud.cn/image/document/32b03e93d0952903ed5baa4572adfd9f.png)
,在下拉列表中选择合适的字段和操作符,再输入对应的字段值,单击确定即可进行筛选。
![](https://qcloudimg.tencent-cloud.cn/image/document/32b03e93d0952903ed5baa4572adfd9f.png)
![](https://qcloudimg.tencent-cloud.cn/image/document/c94b882cf097425bd495ea1646c64cd5.png)
说明:
针对常用的检索可保存检索 ,下次直接单击快速检索,选中要原先保存的检索内容进行筛选即可。
在日志分析页面,鼠标单击柱状图或单击后滑动,可快速选定时间范围,进行下钻查看。
![](https://qcloudimg.tencent-cloud.cn/image/document/408e19277238a12a7fadd7fabacbb62f.png)
在日志分析页面,在列表左侧的字段导航中,可自定义展示字段和隐藏字段。
![](https://qcloudimg.tencent-cloud.cn/image/document/4d582ccc49a500f94f605b7598721b2d.png)
单击导出,可将满足检索条件的日志导出为文件,并通过浏览器下载到本地。
说明:
单次最多支持导出60000条日志,最大支持每种类型导出10000条数据。
日志投递
投递至kafka
在日志分析页面,您可配置主机安全不同日志类型分别投递到指定 Ckafka 实例的不同 Topic 中。
1. 单击左上角的日志投递,打开日志投递配置弹窗,首次若未授权 Ckafka 服务,须先单击前往授权,同意服务授权后才可进行更多日志投递配置。
![](https://qcloudimg.tencent-cloud.cn/image/document/d6907ca447896710bfd475d971aae73c.png)
2. 同意授权服务后,须选择消息队列实例、网络接入方式,输入所选消息队列实例的用户名和密码,并进行连通性测试。
![](https://qcloudimg.tencent-cloud.cn/image/document/48800e633dbfbf8ac76f0bc31dedf64b.jpg)
3. 选择网络接入方式。
网络接入方式 | 描述 | 可选路由说明 |
公网域名接入 | 通过公网进行日志投递。 | 是消息队列实例中所定的接入方式。 |
支撑环境接入 | 通过腾讯云内网进行日志投递,性能更高。 | 是消息队列实例中所定的接入方式,仅支持 SASL_PLAINTEXT 接入方式。 |
内网投递 | 通过腾讯云内网进行日志投递,但路由无需用户在 ckafka 中进行配置,会自动创建一个不可见的内部路由来支持接入。 | - |
说明:
网络接入方式若选择“公网域名接入”、“支撑环境接入”,还需要选择接入路由,路由策略对应 Ckafka 实例列表 详情中的接入方式。
![](https://qcloudimg.tencent-cloud.cn/image/document/75a5289236e8fa8516c77ee7c9bb9d58.png)
网络接入方式若选择“公网域名接入”、“支撑环境接入”,还需要填写 Ckafka 实例的用户名和密码,用户名密码在 Ckafka 实例列表 详情中的 ACL 策略管理 > 用户管理 添加。(在配置日志投递时,仅填写#后的用户名即可,无需填写#及其前的 Ckafka 实例 ID。)
![](https://qcloudimg.tencent-cloud.cn/image/document/0e4ac6fb0d7d39818ea643882bc6d55a.png)
4. 完成上述 Ckafka 配置后,可进行连通性测试,测试通过后,您可对要进行投递的日志配置不同的 Topic(不进行投递的日志类型,可以不选择 Topic ID)。
![](https://qcloudimg.tencent-cloud.cn/image/document/8bd363b82502132ce70fc8a9adbea8dd.png)
5. 日志投递配置完成后,再次单击日志投递,可查看日志投递详情。
![](https://qcloudimg.tencent-cloud.cn/image/document/93e2dfe0a7b1cefcf9570a6a8e900314.png)
基本信息:展示 Ckafka 实例的基本信息。
说明:
您需要关注“状态”字段,当展示告警或异常时,请单击查看监控,查看 Ckafka 服务是否异常,或者是否配额不足。
投递开关:用于控制指定的日志类型,启动或停止日志投递任务,您可以在投递开关列,通过开关按钮控制日志投递任务。
投递状态:正常、异常(此状态会中止投递)、未开启。
编辑:单击编辑,可再次编辑要投递的日志类型和 Topic ID。
查看监控:单击查看监控,会跳转至消息队列 Ckafka 控制台的监控页面,您可以查看网络流量、峰值带宽、消息条数、磁盘占用等情况。
重新配置:在日志投递列表上方,单击重新配置,将回到已同意 Ckafka 授权服务后的状态,您可对消息队列实例、网络接入方式、日志类型、Topic ID 等进行重新配置。
说明:
重新配置,会中断当前的投递进程。
投递至CLS
在日志分析页面,您可配置主机安全不同日志类型分别投递到指定 CLS 的不同日志主题中。
1. 单击左上角的日志投递,打开日志投递配置弹窗,首次若未授权 CLS 服务,须先单击前往授权,同意服务授权且创建服务角色后才可进行更多日志投递配置。
![](https://qcloudimg.tencent-cloud.cn/image/document/53838e03c9478069a01e79db0f186325.png)
说明:
将日志投递到 CLS (日志服务)集中管理,需授权接入 CLS 并开启日志投递开关。
2. 完成上述授权后,可对要进行投递的日志配置不同的日志主题(不进行投递的日志类型,可以不进行配置)。
![](https://qcloudimg.tencent-cloud.cn/image/document/736befef9f5038546cf5744bd52fe5e5.png)
3. 单击立即配置,可在投递设置弹窗中选择需要投递的日志类型、目标地域、选择日志集和日志主题,单击确定。
![](https://qcloudimg.tencent-cloud.cn/image/document/2864e555250d585f8d05c1e00e6d11da.png)
4. 配置完成后,单击开启投递开关,该日志类型将投递至您配置的 CLS 日志集及日志主题中。
![](https://qcloudimg.tencent-cloud.cn/image/document/6541b1ed646668cacb89dce4c2abdac6.png)
投递开关:用于控制指定的日志类型,启动或停止日志投递任务,您可以在投递开关列,通过开关按钮控制日志投递任务。
投递状态:正常、异常(此状态会中止投递)、未配置。
编辑:单击编辑,可再次编辑要投递的日志集和日志主题。
重置:操作列单击重置,该日志投递已配置内容将被清空,清空内容包含日志类型、投递日志集、投递日志主题,请谨慎操作。