Linux系统日志排查

布满荆棘的人生 2023-10-13 13:26 10阅读 0赞

### Linux篇系统日志排查 ###

*  日志文件
 *  常见的日志信息
 *  举例说明
 *   *  登入验证日志
     *   *  登入失败次数
         *  统计攻击者IP个数
         *  攻击次数排列（由高到低）

# 日志文件 #

日志文件是记录|系统运行信息的文件，Linux系统内记载很多不同类型的日志，例如：

1.  Linux内核消息
2.  登入事件
3.  程序错误日志
4.  软件安装日志

以上日志内记录系统内一些关键的信息，通过这些日志内记录的信息，可以帮助安全人员寻找到攻击者蛛丝马迹。

# 常见的日志信息 #

/var/log/demsg 内核的一些信息
    /var/log/auth.log 此文件中包含系统授权信息，以及用户登录和使用的身份验证机制
    /var/log/boot/log 包含系统启动时记录的信息
    /var/log/daemon.log 正在与运行的各种系统后台守护程序将信息记录到此文件中
    /var/log/kern.lg 包含内核记录的信息。有助于解决定制内核的故障
    /var/log/lastlog 显示所有用户的最近登录信息。这不是ascii文件。管理员可以使用lastlog命令查看此文件的内容。
    /var/log/maillog和/var/log/mail.log 记录系统上运行的邮件服务器的信息。例如，sendmail将有关所有已发送项目的信息记录到此文件中
    /var/log/user.log 包含有关所有用户级日志的信息
    /var/log/secure 包含与身份验证和授权权限相关的信息。例如，sshd在这里记录所有信息，包括登录失败。

# 举例说明 #

## 登入验证日志 ##

1.  不知道日志的每一行是做什么的，去搜索。
2.  既然是登入验证肯定会有成功和失败，那么什么状态是成功或失败。
3.  除成功失败外是不是包含其他信息，如：用户名、登入来源IP地址。

### 登入失败次数 ###

vulab@sechelper:/var/log$ sudo grep "Failed password" auth.log | wc -l

如果统计到的登录失败次数特别多，那么能说明是遭到攻击了。

### 统计攻击者IP个数 ###

![在这里插入图片描述][26671cd179224108b64fcf2b2e38f489.png]

### 攻击次数排列（由高到低） ###

![在这里插入图片描述][92ff2e4de7684ed1956d15fec02b22c2.png]  
**参考资料**：[【应急响应】Linux篇-排查系统日志][Linux_-]

[26671cd179224108b64fcf2b2e38f489.png]: https://img-blog.csdnimg.cn/26671cd179224108b64fcf2b2e38f489.png
[92ff2e4de7684ed1956d15fec02b22c2.png]: https://img-blog.csdnimg.cn/92ff2e4de7684ed1956d15fec02b22c2.png
[Linux_-]: https://www.bilibili.com/video/BV1hP411u71i/?spm_id_from=333.337.search-card.all.click&vd_source=a1af903e57688df870625021f7f3a7eb