日志技术
目录
- 日志用来记录系统、程序运行中发生的各种事件,有助于定位问题的根本原因。
- 不同的操作系统、程序都有不同的日志,
如:Linux系统日志、Windows系统日志、MySQL数据库日志、mssql数据库日志以及
各种WEB日志(如apache、tomcat、nginx日志等)
Windows事件日志分类
系统日志、应用程序日志、安全日志
Windows日志分析方法
1.查看管理员登陆时间、用户名是否存在异常
(1)不借助工具
开始——>所有程序——>管理工具——>事件查看器
window+R,输入“eventvwr.msc”,进入事件查看器
对于Windows事件日志分析,不同的EVENT ID 代表不同意义,每个成功登录的事件都会标记一个登录类型,不同登陆类型代表不同方式。
事件ID 说明 4624 登陆成功 4625 登陆失败 4634 注销成功 4647 用户启动的注销 4672 使用超级用户(如,管理员)进行登录 4720 创建用户
登陆类型 描述 说明 2 交互式登录 用户在本地进行登录 3 网络 最常见的情况就是连接到共享文件夹或共享打印机 4 批处理 通常表明某计划任务启动 5 服务 每种服务都被配置在某个特定的用户账号下运行 7 解锁 屏保解锁 8 网络明文 登录的密码在网络上是通过明文传输的,如FTP 9 新凭证 使用带/Netonly参数的RUNAS命令运行一个程序 10 远程交互 通过终端服务,远程桌面或远程协助访问计算机 11 缓存交互 以一个域用户登录而又没有域控制器可用 2.借助工具Event Log Explorer
Linux日志简介
Linux日志默认存放位置:/var/log/
查看日志配置情况:more/etc/rsyslog.conf
Linux日志分析技巧
grep(egrep)、awk、sed文本编辑三剑客,可以按照用户的需求,过滤出用户有价值的信息
第一条:查找登录root账号失败的事件,从/var/log/secure文件中,只显示第11行信息(ip),然后排序sort,去重计数,再排序,more分屏显示。
Web服务器日志(windows)
Web服务器为例,其日志包括:安全日志、系统日志、应用程序日志、WWW日志、FTP日志等。eventvwr.msc打开事件查看器进行查看。
(1).安全日志文件:C:\WINDOWS\system32\config\SecEvent.Evt
(2).系统日志文件:C:\WINDOWS\system32\config\SysEvent.Evt
(3).应用程序日志文件:C:\WINDOWS\system32\config\AppEvent.Evt
(4).FTP日志默认位置:C:\WINDOWS\system32\Logfiles\MSFTPSVC1
(5).WWW日志默认位置:C:\WINDOWS\system32\Logfiles\W3SVC1
补充:
以上都是单机模式,如果架构比较大的时候,n台服务器,需要用一个log server统一管理日志。
ELK
logstash负责对日志进行过滤,Elasticsearch对日志处理,Kibana通过图像界面展示出来
图片非原创,视频学习时截取,方便自己查看