李春强 夏伟

摘 要：网络安全已经上升到关系国家主权战略问题，受到广泛的重视。近年越来越多的新型攻击方式不断涌现，对于这些无法防范的安全威胁，经过正确配置和记录的系统日志便发挥出其价值。尤其对于大型企业，其系统日志是冗杂且数量庞大，完整性也经常遭到人为的破坏。论文介绍了Windows操作系统的日志结构，利用已有的日志分析辅助工具和批量处理工具，讨论如何更高效地利用系统日志完成安全事件的溯源，并查找系统未知漏洞以进行修补，最终给出系统日志分析的基本模型。

关键词：日志分析；终端安全； 企业内网安全

中图分类号：TP393.08 文献标识码：A

Abstract： Network security has risen to the relationship between national sovereignty strategic issues， and has been widely attention. Recently more and more completely new attacking methods appeared on the network. The event log is getting valuable because we cant defend those threats. But the event log of a system is redundant and in a large amount， especially for enterprise. And the integrality of the log is always destroyed factitiously. This passage will introduce the struct of Windows event log and discuss about how to originate the source of the security accident and find vulnerabilities to repair. Finally， will give out basic model of system log analysis.

Key words： event log analysis； terminal security； corporation intranet security

1 引言

内网安全是企业信息安全的重要组成部分，而日志审计也是安全审计中最为核心的一部分，日志审计中很大一部分比重是终端日志审计。然而，Windows操作系統的日志结构复杂，对其进行统一且合理的自动化分析成为终端安全的重点和难点，本文提出一种分析方式，可以有效地整理和分析Windows日志。

2 日志分析工具现状

已经有研究团队开发出了自动化的日志分析工具。这些工具不限于针对Windows系统的日志分析，主流针对的是中间件，如Apache、Nginx、Tomcat等Web中间件，它们可以很方便地得出其中的可疑事件或入侵事件，如XSS攻击、SQL注入等。对于Windows日志分析较为知名的有软件Event Log Analyzer、Splunk等。

2.1 Event Log Analyzer

一款综合了日志收集与分析、合法性检查（信息系统安全性是否符合标准）的日志分析工具，能够对日志趋势进行绘图，可统计所有分级事件的数目，它以报表的形式反馈用户重点关注的内容，不限于Windows日志，也包含Linux/Unix系统和中间件日志。……