网络安全日志该如何分析？

本文目录导读：

1. 第一步：数据准备与集中化
2. 第二步：制定分析策略
3. 第三步：核心分析技巧
4. 第四步：具体案例分析
5. 第五步：自动化与工具
6. 分析报告应包含的内容

网络安全日志分析是一个系统性的工作，核心目标是发现异常行为、入侵痕迹或系统故障，一个完整的分析流程通常包括数据准备、集中化处理、基于场景的分析和自动化响应。

以下是网络安全日志分析的标准化流程和方法：

第一步：数据准备与集中化

如果没有集中的日志收集，分析将非常困难，通常使用安全信息和事件管理（SIEM）系统（如Splunk、ELK Stack、IBM QRadar）或日志分析平台。

1. 关键日志源：需要覆盖以下系统：
   • 网络设备：防火墙（允许/拒绝记录）、路由器、交换机、入侵检测/防御系统（IDS/IPS）。
   • 服务器：操作系统（Windows事件日志、Linux Syslog）、Web服务器（Apache/Nginx访问日志、错误日志）、数据库、应用日志。
   • 终端：防病毒（AV）、端点检测与响应（EDR）日志。
2. 格式化与标准化：确保时间戳统一为UTC，将不同格式的日志转换为统一字段（如源IP、目标IP、用户、操作、结果）。

第二步：制定分析策略

盲目浏览日志效率极低，需要带着问题或假设去分析,通常分为两类：

基线行为分析（用于发现未知威胁）

• 定义正常：统计过去一周/一个月同一时间段（如工作日10:00-11:00）的流量、登录失败次数、CPU使用率等指标的均值与标准差。
• 偏离检测：当前值超过阈值3个标准差时，触发告警。
  • 突然收到来自100个不同国家的登录请求（侦查扫描）。
  • 凌晨3点有大量数据流出（数据泄露）。

已知威胁猎杀（基于IOC，即入侵指标）

• 搜索恶意IP：将日志中的IP与已知威胁情报（如AlienVault OTX、IBM X-Force）进行交叉比对。
• 搜索恶意域名：查找DNS日志中的C2（命令与控制）服务器域名（如随机生成的字符.com）。
• 搜索恶意Hash：查找下载文件或进程的Hash值是否匹配病毒库。

第三步：核心分析技巧

时间序列分析

• 聚焦异常时间：非工作时间（如周末凌晨）的登录成功、防火墙允许外连、计划任务启动。
• 查找时序关联：在日志中按时间回溯。Web服务器收到401错误 -> 紧接着200成功 -> 接着访问/admin（这是典型的暴力破解攻击时序）。

横向关联

• 用户画像：同一用户名在1秒内同时从IP-A和IP-B登录（撞库/账号被盗）。
• 流量流向：内网服务器突然向外部陌生IP发起大量连接（后门外联）。

关键字段分析

• HTTP状态码：大量401（未授权）表示暴力破解；大量403（禁止）表示绕过失败；大量500（服务器错误）可能表示攻击导致服务崩溃。
• 用户代理（User-Agent）：异常的User-Agent（如curl/7.0、sqlmap、Nessus）通常为自动化攻击工具。
• 端口行为：客户端连接高端口（如3389-RDP、22-SSH、445-SMB）或服务器主动连接低端口（外联）是不正常的。

第四步：具体案例分析

案例1：暴力破解

• 日志特征：SSH日志中Failed password for root或Invalid user出现数千次。
• 应对：确认源IP是否在威胁情报库；检查该IP是否有成功的登录Accepted password；立即封锁该IP并检查成功登录后的操作日志。

案例2：Webshell（网页后门）

• 日志特征：上传文件（如POST /upload.php），随后访问/uploads/shell.jsp；访问包含大量Base64编码参数的URL。
• 长尾请求：请求的响应size异常大（如200 10240）,而静态页面通常较小。
• 应对：立即取下该文件，查看父进程和访问者的IP,扫描服务器其他文件。

第五步：自动化与工具

为了高效分析,不能全靠人工：

1. 告警规则：在SIEM中设置规则：
   • 24小时内登录失败超过10次 -> 生成高危事件。
   • 源IP：外部；目标端口：1433,3306,3389；动作：允许 -> 注册为数据库扫描。
2. 用户与实体行为分析（UEBA）：利用机器学习建立用户行为基线，自动识别偏离（如某个员工平时只访问OA，突然下载了10G的源码）。
3. 威胁追踪：使用YARA规则或Sigma规则匹配日志中的模式。

分析报告应包含的内容

完成分析后,应输出包含以下元素的报告：

1. 攻击时间轴：T1：扫描 -> T2：漏洞利用 -> T3：权限提升 -> T4：横向移动 -> T5：数据外泄。
2. 失陷指标（IOC）：IP、域名、文件Hash。
3. 影响评估：哪些系统被攻陷？什么数据被访问？
4. 修复建议：打补丁、修改密码、配置防火墙规则。

最后提醒：日志分析成功的关键不在于看到了多少日志，而在于上下文，单纯的一条登录成功没有意义，但结合凌晨3点、从未见过的IP、登录后下载了数据库备份文件,就构成了一个完整的安全事件。