- 综合排序
- 最热优先
- 最新优先
- 来自专栏FreeBuf
蓝队技术 | 使用Sysmon日志识别和分析Windows恶意活动
要解决的问题 在开始本文的内容之前，我们需要先在脑海里记住以下几个问题，并带着这些问题来阅读本文： 1、Sysmon日志中，Event ID 11相关的事件日志总共有多少？ Sysmon 背景 Sysmon日志是由Microsoft系统监视器（Sysmon）生成的事件日志，它们提供有关Windows上的系统级操作的详细信息，并记录进程启动、网络连接、文件和注册表修改、驱动程序和服务活动以及 WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。 Sysmon日志在这项工作中发挥着至关重要的作用，它提供了有价值的见解，并使组织能够加强其安全态势。 此时，还可以使用findstr（类似于Linux中的grep）来获取包含4292的日志条目，而4292则是之前进程分析中Firefox的进程ID。
2.1K10编辑于 2024-05-17 - 来自专栏WalkingCloud
Sysmon+Nxlog+GrayLog实现Windows服务器安全日志监控
Sysmon+Nxlog+GrayLog实现Windows服务器安全日志监控 Sysmon系统监视器是一种 Windows 系统服务和设备驱动程序，一旦安装在系统上，系统重启后，它仍驻留在系统重启中， 通过使用 Windows 事件收集或 SIEM 代理收集它生成的事件并随后分析这些事件，可以识别恶意或异常活动，并了解攻击者和恶意软件如何在你的网络上运行。 请注意 ，Sysmon 不提供其生成的事件的分析，也不尝试保护或隐藏自身免受攻击者的攻击。 => sysmonout </Route> (图片可点击放大查看) 3、启动nxlog服务 (图片可点击放大查看) 4、GrayLog配置Input 这里为了区别系统日志与Sysmon日志 日志 例如命令行ping www.baidu.com (图片可点击放大查看) 可以查到DNS查询日志和命令行进程日志 (图片可点击放大查看) (图片可点击放大查看)
4.2K20编辑于 2022-03-31 - 来自专栏FreeBuf
微软轻量级系统监控工具sysmon原理与实现完全分析
前情提要： 微软轻量级系统监控工具sysmon内核实现原理 微软轻量级监控工具sysmon原理与实现 前两次我们分别讲了sysmon的ring3与ring0的实现原理，但是当初使用的版本的是8.X的版本 ，最新的版本10.X的sysmon功能有所增加，经过分析代码上也有变化。 OpenProcess事件 内核事件类型是：9 ? ? ProcessPid; DWORD DataChunkLength[3]; CHAR Data[1]; }; 在data块里会输出：NamePipeFileName 和ImageFileName 两个数据 9. 今天的续篇就此结束，sysmon还是可以挖掘很多很实用得东西，比如每个事件里得ProcessGuid 并不是随机生成得，而是有一定算法得，具体读者可以自行研究发现。 ?
1.5K20发布于 2020-10-27 - 来自专栏技术杂记
日志服务器（9）
安装 LogAnalyzer LogAnalyzer 的下载地址可以参考 下载 ，安装过程可以参考 安装 ---- 下载 LogAnalyzer [root@h105 src]# wget http://download.adiscon.com/loganalyzer/loganalyzer-3.6.6.tar.gz --2016-05-10 22:15:18-- http://download.adiscon.com/loganalyzer/loganalyzer-3.6.6.tar.gz Resolv
1.2K30发布于 2021-10-20 - 来自专栏luozhiyun的技术学习
9. SOFAJRaft源码分析— Follower如何通过Snapshot快速追上Leader日志？
前言 引入快照机制主要是为了解决两个问题： JRaft新节点加入后，如何快速追上最新的数据 Raft 节点出现故障重新启动后如何高效恢复到最新的数据 Snapshot 源码分析 生成 Raft 节点的快照文件 another snapshot.")); return; } //当前业务状态机已经提交的 Index 索引是否等于 Snapshot 最后保存的日志 安装快照 Jraft在发送日志到Follower的时候会判断一下需要发送快照，以便让 Follower 快速跟上 Leader 的日志进度，不再回放很早以前的日志信息，即缓解了网络的吞吐量，又提升了日志同步的效率
81310发布于 2020-01-02 - 来自专栏Sign
精灵之息 开发日志（9）
使用各种奇淫巧技去减少资源的开销，增加资源的复用性，然后这过程总是不经意的会感叹，“原来那时候的制作者是这样的心情啊”的感觉。
53720发布于 2021-08-22 - 来自专栏全栈程序员必看
Windows系统日志分析_python日志采集分析
四、Windows日志实例分析 在Windows日志中记录了很多操作事件，为了方便用户对它们的管理，每种类型的事件都赋予了一个惟一的编号，这就是事件ID。 1． 五、WEB日志文件分析 以下列日志记录为例，进行分析： #Software: Microsoft Internet Information Services 6.0 #Version: 1.0 sxjyzx/2.gif - 80 - 192.168.99.236 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1) 200 0 0 分析 表示程序有错； sc-substatus 服务端传送到客户端的字节大小； cs–win32-statu客户端传送到服务端的字节大小； 1**：请求收到，继续处理 2**：操作成功收到，分析 有时是为了防止发生系统过载 503——服务器过载或暂停维修 504——关口过载，服务器使用另一个关口或服务来响应用户，等待时间设定值较长 505——服务器不支持或拒绝支请求头中指定的HTTP版本 FTP日志分析
2.4K10编辑于 2022-10-04 - 来自专栏FreeBuf
手工打造基于ATT&CK矩阵的EDR系统
主要原因在于其缺乏日志级的监控工具以供回溯，所以SYSMON的正确部署能够有效地帮助应急人员快速地定位并处理病毒和攻击事件，也能提供非常丰富的事件回溯。 但是，想要用好SYSMON其实并不是一件非常轻松和简单的事情，它的背后必定要有一个强大的平台和一个强大的团队。平台即为大数据分析平台，可为ELK，可为GrayLog，可为日志易，也可以为Splunk。 因为Splunk的优秀搜索能力和人性化的操作界面，Freebuf中也介绍了非常多的文章如何利用Splunk+SYSMON进行日志分析，从而协助安全人员进行分析。 而与此同时，另外一位大佬olafhartong编写了“sysmon-modular”，分门别类地将SYSMON的各级事件日志详细地分类并规整为一份完整的，系统的ATT&CK矩阵映射的SYSMON配置文件 page=videos/derbycon9/stable-36-endpoint-detection-super-powers-on-the-cheap-with-sysmon-olaf-hartong
2.2K20发布于 2020-06-29 - 来自专栏OneMoreThink的专栏
应急靶场(11)：【玄机】日志分析-apache日志分析
1、提交当天访问次数最多的IP，即黑客IP 已知中间件是Linux上的Apache，常见日志路径一般是： /var/log/apache/ /var/log/apache2/ /var/log/httpd / 这里定位到日志路径是/var/log/apache2。 通过命令ls -lah根据文件大小，判断日志文件是access.log.1，因为access.log的大小是0。
1K10编辑于 2024-10-15 - 来自专栏程序员奇点
GC 日志分析
GC 日志分析 首先，如果需要查看 GC 日志，需要在 jvm 参数中加入如下参数 -XX:+PrintGCTimeStamps -XX:+PrintGCDetails -Xloggc:d:/GClogs /tomcat6-gc.log GC 日志 2016-11-23T11:01:27.738+0800: 0.150: [GC [PSYoungGen: 331K->288K(5952K)] 331K- PSPermGen: 3060K->3060K(21248K)], 0.0052429 secs] [Times: user=0.01 sys=0.00, real=0.01 secs] Young GC 日志 image Full GC 日志分析 ? image JVM 参数设置 jvm 参数对应堆内存设置 ? image 比例设置 ? 32M） -XX:MaxGCPauseMillis=500 ：设置最大暂停时间（毫秒） -XX:+DisableExplicitGC：禁止显示GC的调用（即禁止开发者的 System.gc();） GC日志
1.7K10发布于 2020-05-08 技术日志挑战——第9天：0801
今天跑来连云港出差了，说是要看一下这边后面软件开发的需求，这次老板，加我负责软件，另一个工程师负责机械，我们三个一起来看设备，了解之后的需求。
27710编辑于 2024-08-01- 来自专栏全栈程序员必看
Window日志分析
C、如何筛选 如果想要查看账户登录事件，在右边点击筛选当前日志，在事件ID填入4624和4625，4624 登录成功 4625 登录失败 D、事件ID及常见场景 对于Windows事件日志分析，不同的 net user USER PASSWORD /add net localgroup administrators USER /add 0x02 日志分析工具 A、Log Parser Log Parser（是微软公司出品的日志分析工具，它功能强大，使用简单，可以分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及操作系统的事件日志、注册表、文件系统、Active Directory logparser用法详解 https://www.jb51.net/hack/384430.html https://wenku.baidu.com/view/e86ad976e009581b6bd9ebcf.html Powershell日志分析 https://www.t00ls.net/articles-50631.html 发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/
1.3K30编辑于 2022-09-07 - 来自专栏互联网老辛
nginx日志分析
在nginx.conf中定义的日志格式如下： http { ... http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; ... } 日志文件如下 10_12_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.100 Safari/537.36" "-" nginx没有命令直接将日志按天分割 access-api-$(date -d "yesterday" +"%Y%m%d").log cron： 0 0 * * * /mydata/nginx/nginx.log.sh 从nginx服务器将日志数据传输到日志服务器 body_bytes_sent = s.group(7) http_referer = s.group(8) http_user_agent = s.group(9)
1.3K30发布于 2018-07-30 - 来自专栏全栈程序员必看
AWStats日志分析
AWStats日志分析系统介绍 1.AWStats日志分析系统 （1）Peri语言开发的一款开源日志分析系统 （2）可用来分析Apache、Samba、 Vsftpd、 IIS等服务 器的访问日志 （3 ）信息结合crond等计划任务服务，可对日志内容定期进行分析 部署AWStats日志分析系统 1.安装AWStats软件包 2.为要统计的站点建立配置文件 3.修改站点统计配置文件 4.执行日志分析，并设置 crontab计划任务 访问AWStats分析系统 1.查看统计页面 2.设置网页自动跳转，方便访问 具体操作： 1.安装DNS和HTTP服务软件包 [root@localhost ~]# yum install y > www.kgc.com 9.HTTP配置文件 [root@localhost tools]# cd /etc/httpd/conf [root@localhost conf]# vim httpd.conf /var/lib/ [root@localhost lib]# ls 查看没有awstats 创建后在查看 [root@localhost lib]# mkdir awstats 9.
93610编辑于 2022-09-13 - 来自专栏有价值炮灰
Nginx日志分析
日志采用默认的格式产生，一直也没太关注， 这次正好藉着博客改版，尝试分析下近期的日志，以对网站状态有个全局的了解。 网上有许多日志分析采用的是简单粗暴的bash脚本(awk)来进行处理， 好处是分析速度快，但坏处是拓展性不强，如果未来想要做图表或者在网页前端展示就比较麻烦了。 扯得有点远了，还是继续分析日志吧。 错误日志分析 错误日志也叫应用程序日志，主要用于方便开发者或者运维在出问题的时候排查原因。 分析 错误日志相对于访问日志要少（废话），但从中也能找到对我们有价值的信息。
1.9K30编辑于 2023-02-12 - 来自专栏Bypass
Window日志分析
0x03 事件日志分析 对于Windows事件日志分析，不同的EVENT ID代表了不同的意义，摘录一些常见的安全事件的说明： 事件ID 说明 4624 登录成功 4625 登录失败 4634 注销成功 9 新凭证（NewCredentials） 使用带/Netonly参数的RUNAS命令运行一个程序。 0x04 日志分析工具 Log Parser Log Parser（是微软公司出品的日志分析工具，它功能强大，使用简单，可以分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及操作系统的事件日志 它可以像使用 SQL 语句一样查询分析这些数据，甚至可以把分析结果以各种图表的形式展现出来。 Event Log Explorer Event Log Explorer是一款非常好用的Windows日志分析工具。
2.7K20发布于 2019-07-08 - 来自专栏linux运维
日志分析问题：日志文件格式复杂，难以分析
常见的日志分析问题及解决方案2.1 日志文件格式不统一问题：日志文件格式不统一，导致难以进行统一分析。解决方案：使用日志解析工具将日志文件转换为统一格式。 ：日志文件内容复杂，难以直接分析。 解决方案：使用日志分析工具提取关键信息。 解决方案：使用日志聚合和分析工具进行大规模分析。 4.2 优化分析建议：根据系统的变化和新的日志需求，及时优化日志分析工具和配置。
61010编辑于 2025-02-07 - 来自专栏ffffffff0x
安全蓝队 : windows日志检索和分析
前言 在运维工作过程中，如若windows服务器被入侵，往往需要检索和分析相应的安全日志。 除了安全设备，系统自带的日志就是取证的关键材料，但是此类日志数量庞大，需要高效分析windows安全日志，提取出我们想要的有用信息，就显得尤为关键。 每个记录事件的数据结构中包含了9个元素（可以理解成数据库中的字段）：日期/时间、事件类型、用户、计算机、事件ID、来源、类别、描述、数据等信息。运维人员可以根据日志取证，了解计算机所发生的具体行为。 /Sysmon/Operational Sysmon 日志默认保存在 %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx logparser logparser 是一款 windows 日志分析工具，访问这里下载 https://www.microsoft.com/en-us/download/details.aspx?
4.2K21发布于 2021-01-06 - 来自专栏FreeBuf
使用Sysmon和Splunk探测网络环境中横向渗透
当前很难在网络中探测攻击者横向渗透，其中原因有很难获取必要的日志和区别正常与恶意行为。本篇文章介绍通过部署Sysmon并将日志发送到SIEM来探测横向渗透。 工具： Sysmon + Splunk light 安装配置： sysmon -i -n ? 本地查看sysmon事件日志，打开事件查看器 - Microsoft - Windows - Sysmon - Operational 如下图可以看到sysmon记录到powershell.exe进程创建 在splunk中查询当前主机的sysmon日志： sourcetype="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" ? 然后通过分析当前的Windows事件日志，辨别进程的创建/终止，网络连接的建立/销毁来区别正常与异常的SMB会话。 探测攻击者使用PowerShell进行横向渗透。
2.6K70发布于 2018-02-09 - 来自专栏中国白客联盟
基于splunk的主机日志整合并分析
大家都知道，主机日志格式过于杂乱对于日后的分析造成了不小的困扰，而splunk的轻便型、便携性、易安装性造就了其是一个日志分析的好帮手。 但是有一点，windows默认的自带日志除了登录日志对我们有点用处以外，其他的貌似用户不大，对于分析人员来说，可能更想看到的是哪个文件执行了具体的历史命令，那我们这里就要介绍以windows记录详细日志的 sysmon为例，把sysmon日志也同步过来。 首先我们在服务端上安装好sysmon 装好以后会在日志目录在出现sysmon日志文件 ? 我们可以先打开sysmon日志看下，发现日志比windows自带日志详细很多 ? = true 修改完以后最好重启一下，然后我们看下客户端，发现能够看到sysmon的日志也同步过来了，能够利用各种搜索语句便于我们后续的分析 ?
1.8K20发布于 2018-08-20
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号