網(wǎng)絡(luò)運(yùn)維中的日志管理！
上圖中，日常網(wǎng)絡(luò)管理以及運(yùn)維包括很多方面。運(yùn)行維護(hù)中的任何問題都會(huì)影響網(wǎng)絡(luò)的安全性和服務(wù)的穩(wěn)定性。因此，大多數(shù)網(wǎng)絡(luò)運(yùn)維人員的工作狀態(tài)是扮演“消防員滅火”的角色。無論哪里出現(xiàn)問題，問題都會(huì)得到解決，而且往往會(huì)遇到各種無法預(yù)料的問題。
今天，讓我們談?wù)勅粘＞W(wǎng)絡(luò)運(yùn)維中的“日志”管理。
什么是日志？
簡而言之，日志是計(jì)算機(jī)系統(tǒng)，設(shè)備，軟件等在特定條件下記錄的信息。確切的內(nèi)容取決于日志的來源。例如，Unix操作系統(tǒng)將記錄用戶登錄和注銷消息，防火墻將記錄ACL通過和拒絕消息，并且磁盤存儲(chǔ)系統(tǒng)將在發(fā)生故障或某些系統(tǒng)認(rèn)為發(fā)生故障時(shí)生成日志信息。 。
日志中有很多信息，告訴您為什么需要生成日志以及系統(tǒng)發(fā)生了什么。例如，當(dāng)有人訪問網(wǎng)頁以請(qǐng)求資源（圖片，文件等）時(shí)，網(wǎng)絡(luò)服務(wù)器通常會(huì)記錄日志。如果需要驗(yàn)證用戶訪問的頁面，則日志消息中將包含用戶名。
這是日志數(shù)據(jù)的示例：用戶名可用于確定誰訪問了資源。通過日志，IT管理員可以了解系統(tǒng)的運(yùn)行狀態(tài)，安全狀態(tài)，甚至運(yùn)行狀態(tài)。
日志可以做什么？
在完整的信息系統(tǒng)中，日志系統(tǒng)是非常重要的功能組件。它可以記錄系統(tǒng)生成的所有行為，并根據(jù)一些規(guī)范來表達(dá)它們。我們可以使用日志系統(tǒng)記錄的信息對(duì)系統(tǒng)進(jìn)行故障排除，優(yōu)化系統(tǒng)性能或基于此信息調(diào)整系統(tǒng)行為。
在安全性字段中，日志可以反映許多安全攻擊行為，例如登錄錯(cuò)誤和異常訪問。日志還可以告訴您有關(guān)網(wǎng)絡(luò)上發(fā)生的事情的很多信息，包括性能信息，故障檢測和入侵檢測。日志可以成為“取證”信息的良好來源，以查明事故發(fā)生后“發(fā)生的事情”。日志可用于審核跟蹤。
說到“日志”，日志可以帶給我們什么？
1.用戶數(shù)量分析
這是Nginx中記錄的非常常見的日志。日志的詳細(xì)內(nèi)容可以在相關(guān)文檔中找到。這是主要內(nèi)容的簡要說明。從日志中，您可以獲取訪問者的IP，訪問時(shí)間，時(shí)區(qū)，請(qǐng)求的方法，請(qǐng)求的頁面，返回狀態(tài)，來源等。通過查看請(qǐng)求的頁面/登錄名，可以猜出在中小企業(yè)的運(yùn)營和維護(hù)中容易被低估的日志。這只是一個(gè)登錄請(qǐng)求頁面。該日志的重要含義是登錄成功。
通過此日志與我們關(guān)注的指標(biāo)的對(duì)應(yīng)方式，我們將在下面進(jìn)行分析。
活動(dòng)用戶數(shù)?；顒?dòng)用戶數(shù)通常是指同一天已登錄系統(tǒng)的老用戶數(shù)。此時(shí)，可以發(fā)現(xiàn)，如果將剛剛登錄的日志添加到一天的統(tǒng)計(jì)信息中，則可以知道一天中有多少次成功等待登錄次數(shù)。
但是細(xì)心的朋友會(huì)發(fā)現(xiàn)它是不正確的，因?yàn)橛脩艨梢灾貜?fù)登錄，這將導(dǎo)致重復(fù)。是的，那么我們將對(duì)其進(jìn)行完善。讓我們從另一個(gè)角度分析一天中成功登錄的唯一IP的數(shù)量。它更接近真實(shí)結(jié)果了嗎？我認(rèn)為幅度和趨勢已經(jīng)可以解釋這個(gè)問題。
沒有針對(duì)單憑單用戶的標(biāo)準(zhǔn)聲明。我的理解是，同一個(gè)人出于某種目的已經(jīng)注冊(cè)了大量帳戶，然后執(zhí)行某些操作，例如單憑單。這種行為很難100％消除，但是可以從此日志中得出一些有趣的發(fā)現(xiàn)。
如果一天中同一IP上成功登錄的次數(shù)過多（例如一天100次登錄），則兩次之間的間隔大約相同，這表明該人被懷疑正在訂購，可以首先找到該人，然后然后進(jìn)一步分析。
新增用戶數(shù)的含義是一天中成功注冊(cè)的用戶數(shù)。此時(shí)，您可以模擬登錄日志。只需將登錄日志的URL替換為注冊(cè)日志的URL，即可查明一天內(nèi)增加了多少用戶。
同樣，惡意注冊(cè)用戶的數(shù)量也相似。每天在同一IP下成功注冊(cè)的次數(shù)非常多。該IP被惡意注冊(cè)的可能性非常高。當(dāng)然，還需要進(jìn)一步的分析，例如IP是否是建筑物中的出口IP，用戶在注冊(cè)后確定了什么。
從以上分析可以看出，有很多推斷，從日志中可以看到許多操作內(nèi)容，例如瀏覽產(chǎn)品的排名，用戶訪問時(shí)間，用戶來源等。
2.安全行為分析
下面我們還從該日志中分析安全行為：
這也是一個(gè)登錄日志。與上述登錄日志的唯一區(qū)別是服務(wù)器返回值。一是302，一是200。有什么區(qū)別？ 302表示服務(wù)器已跳至該頁面，而200仍正常返回該頁面。由此可以理解，這是登錄失敗的記錄。很好，使用此記錄，您可以發(fā)現(xiàn)很多安全行為。
惡意密碼猜測可以理解為大量用戶在一段時(shí)間內(nèi)未登錄，并且返回了大量登錄失敗記錄。通過此定義，您可以在日志中找到規(guī)則。我們放大到5分鐘。當(dāng)同一IP在5分鐘內(nèi)發(fā)生20多次登錄失敗時(shí)，基本上可以得出結(jié)論，正在執(zhí)行密碼猜測。
同樣，cc攻擊更容易理解。相同的IP在短時(shí)間內(nèi)訪問并生成大量請(qǐng)求，基本上可以將其視為cc攻擊。也可以從日志中分析其他webshell，sql注入等，但是它不太準(zhǔn)確，因?yàn)槿罩疽昧薵et請(qǐng)求的參數(shù)，并且post參數(shù)沒有正常記錄。
從上面的分析中，我們可以看到日志中還有很多有價(jià)值的東西，但是我們只是沒有找到它。
如何分析日志？
收集日志
在常規(guī)日志分析中，首先收集日志，然后對(duì)日志進(jìn)行格式化和分析，然后過濾或合并，然后對(duì)日志進(jìn)行警報(bào)分析，最后將其存儲(chǔ)在倉庫中。
該集合主要支持各種協(xié)議，例如syslog，sftp等。
格式分析是關(guān)鍵，畢竟每個(gè)日志的格式都不同。
分析日志
日志分析中有關(guān)鍵字分析，統(tǒng)計(jì)分析和關(guān)聯(lián)分析。
關(guān)鍵字分析是分析日志中的關(guān)鍵字。
統(tǒng)計(jì)分析是基于一定時(shí)間段的。
關(guān)聯(lián)分析用于在大量審計(jì)信息中查找異構(gòu)事件信息與異構(gòu)事件信息之間的關(guān)系。
關(guān)聯(lián)分析方法（針對(duì)存在關(guān)系信息的上下文開發(fā)合理的審計(jì)策略，通過組合多個(gè)異構(gòu)事件來確定操作行為的性質(zhì)，發(fā)現(xiàn)隱藏的關(guān)聯(lián)，并找出可能的違規(guī)行為。）
日志本身毫無價(jià)值。僅在分析和使用日志時(shí)才有價(jià)值。該日志包含許多有用的信息，不僅包括操作和維護(hù)級(jí)別，還包括業(yè)務(wù)級(jí)別和安全級(jí)別。在許多情況下，除了日志監(jiān)視之外，還需要一個(gè)統(tǒng)一的警報(bào)平臺(tái)來進(jìn)行操作和維護(hù)。但是，許多故障警報(bào)需要基于日志自動(dòng)分析的結(jié)論。因此，日志非常重要。
所以平時(shí)想要我們的網(wǎng)絡(luò)進(jìn)行更好的管理，對(duì)日志進(jìn)行分析處理是非常有必要的。全網(wǎng)數(shù)據(jù)為大家提供專業(yè)的深圳服務(wù)器租用，深圳服務(wù)器托管，深圳主機(jī)租用，云主機(jī)租用等國內(nèi)外服務(wù)器資源，詳情可咨詢客服了解。
