将不同的web日志文件与不同的格式组合在一起有什么好处？

Question

在web应用程序安全性方面，将不同的web日志文件与不同的格式组合在一起有什么好处？换句话说，将iis日志文件与apache日志文件结合起来如何帮助识别攻击？

Answer 1

您在问题中所描述的内容通常称为信息融合。通过能够连接不同的日志源，您可以更容易地增加对请求上下文的了解，并帮助确定其解释。

与其他日志和信息相关联的日志越多，它们就越有价值。

例如，假设您的say服务器都被发送到统一格式的中央日志设备。一旦您的日志现在统一了，您就可以很容易地使用以下命令：

cat weblogs.tz | cut $ip > ip.txt
netcat whois.cymru.org 43 < ip.txt > result.txt

你现在坐在你的用户ASN，IP地址，Nettrange，国家和其他美好的东西从您的所有网络服务器。更进一步，您现在需要寻找可疑的客户端，他们正在以不正常的模式访问您的服务器，可能是在寻找集中攻击。

现在，使用所有的you服务器日志，您还可以更多地查看所有或仅在部分you服务器上看到的任何模式。就像来自zeltser.com/log-management/security-incident-log-review-checklist的这个列表：

• 对不存在的文件的过度访问尝试
• 作为URL一部分的代码(SQL，HTML)
• 访问尚未实现的扩展
• Web服务停止/启动/失败消息
• 访问接受用户输入的“危险”页面
• 查看负载平衡器池中所有服务器上的日志。
• 不属于您的文件的错误代码200
• 失败的用户身份验证错误代码401,403
• 无效请求错误代码400内部服务器错误代码500

Answer 2

如果将IIS日志文件转换为Apache格式，则可以在它们上运行apache-scalp.googlecode.com。