本文目录导读：
网络安全日志分析是一个系统性的工作，核心目标是发现异常行为、入侵痕迹或系统故障，一个完整的分析流程通常包括数据准备、集中化处理、基于场景的分析和自动化响应。
以下是网络安全日志分析的标准化流程和方法：
第一步：数据准备与集中化
如果没有集中的日志收集，分析将非常困难，通常使用安全信息和事件管理（SIEM）系统（如Splunk、ELK Stack、IBM QRadar）或日志分析平台。
- 关键日志源：需要覆盖以下系统：
- 网络设备：防火墙（允许/拒绝记录）、路由器、交换机、入侵检测/防御系统（IDS/IPS）。
- 服务器：操作系统（Windows事件日志、Linux Syslog）、Web服务器（Apache/Nginx访问日志、错误日志）、数据库、应用日志。
- 终端：防病毒（AV）、端点检测与响应（EDR）日志。
- 格式化与标准化：确保时间戳统一为UTC，将不同格式的日志转换为统一字段（如源IP、目标IP、用户、操作、结果）。
第二步：制定分析策略
盲目浏览日志效率极低，需要带着问题或假设去分析,通常分为两类：
基线行为分析（用于发现未知威胁）
- 定义正常：统计过去一周/一个月同一时间段（如工作日10:00-11:00）的流量、登录失败次数、CPU使用率等指标的均值与标准差。
- 偏离检测：当前值超过阈值3个标准差时，触发告警。
- 突然收到来自100个不同国家的登录请求（侦查扫描）。
- 凌晨3点有大量数据流出（数据泄露）。
已知威胁猎杀（基于IOC，即入侵指标）
- 搜索恶意IP：将日志中的IP与已知威胁情报（如AlienVault OTX、IBM X-Force）进行交叉比对。
- 搜索恶意域名：查找DNS日志中的C2（命令与控制）服务器域名（如随机生成的字符.com）。
- 搜索恶意Hash：查找下载文件或进程的Hash值是否匹配病毒库。
第三步：核心分析技巧
时间序列分析
- 聚焦异常时间：非工作时间（如周末凌晨）的登录成功、防火墙允许外连、计划任务启动。
- 查找时序关联：在日志中按时间回溯。
Web服务器收到401错误 -> 紧接着200成功 -> 接着访问/admin（这是典型的暴力破解攻击时序）。
横向关联
- 用户画像：同一用户名在1秒内同时从IP-A和IP-B登录（撞库/账号被盗）。
- 流量流向：内网服务器突然向外部陌生IP发起大量连接（后门外联）。
关键字段分析
- HTTP状态码：大量401（未授权）表示暴力破解；大量403（禁止）表示绕过失败；大量500（服务器错误）可能表示攻击导致服务崩溃。
- 用户代理（User-Agent）：异常的User-Agent（如
curl/7.0、sqlmap、Nessus）通常为自动化攻击工具。 - 端口行为：客户端连接高端口（如3389-RDP、22-SSH、445-SMB）或服务器主动连接低端口（外联）是不正常的。
第四步：具体案例分析
案例1：暴力破解
- 日志特征：SSH日志中
Failed password for root或Invalid user出现数千次。 - 应对：确认源IP是否在威胁情报库；检查该IP是否有成功的登录
Accepted password；立即封锁该IP并检查成功登录后的操作日志。
案例2：Webshell（网页后门）
- 日志特征：上传文件（如
POST /upload.php），随后访问/uploads/shell.jsp；访问包含大量Base64编码参数的URL。 - 长尾请求：请求的响应size异常大（如
200 10240）,而静态页面通常较小。 - 应对：立即取下该文件，查看父进程和访问者的IP,扫描服务器其他文件。
第五步：自动化与工具
为了高效分析,不能全靠人工：
- 告警规则：在SIEM中设置规则：
24小时内登录失败超过10次-> 生成高危事件。源IP：外部；目标端口：1433,3306,3389；动作：允许-> 注册为数据库扫描。
- 用户与实体行为分析（UEBA）：利用机器学习建立用户行为基线，自动识别偏离（如某个员工平时只访问OA，突然下载了10G的源码）。
- 威胁追踪：使用YARA规则或Sigma规则匹配日志中的模式。
分析报告应包含的内容
完成分析后,应输出包含以下元素的报告：
- 攻击时间轴：
T1：扫描 -> T2：漏洞利用 -> T3：权限提升 -> T4：横向移动 -> T5：数据外泄。 - 失陷指标（IOC）：IP、域名、文件Hash。
- 影响评估：哪些系统被攻陷？什么数据被访问？
- 修复建议：打补丁、修改密码、配置防火墙规则。
最后提醒：日志分析成功的关键不在于看到了多少日志，而在于上下文，单纯的一条登录成功没有意义，但结合凌晨3点、从未见过的IP、登录后下载了数据库备份文件,就构成了一个完整的安全事件。
