怎样定位日志中的攻击

定位日志中的攻击行为，核心思路是先明确“正常”长什么样，再用异常、特征、关联三层方法把“攻击”找出来。下面按实战流程给你一个可落地的框架。

一、先搞清楚：你在看哪种日志

不同日志定位方式差别很大：

Web 访问日志（Nginx / Apache）：看 URL、参数、状态码
应用日志（Java / Python / Node）：看异常、报错、调用栈
系统日志（Linux / Windows）：看登录、权限、进程
安全设备日志（WAF / IDS / 防火墙）：直接带攻击标签
数据库日志：看慢查询、异常语句

第一步：确认日志来源和字段含义（时间、IP、账号、动作、结果）

二、用“特征规则”快速定位已知攻击

这是最直接的方法。

1. 扫描 / 爆破类

重点看：

同一 IP 短时间大量请求
大量 404 / 401 / 403
常见路径探测：

/admin
/wp-login.php
/.env
/phpmyadmin
/config.bak

示例（Nginx）：

192.168.1.50 - - [10/Oct/2024:03:12:01] "GET /admin HTTP/1.1" 404
192.168.1.50 - - [10/Oct/2024:03:12:02] "GET /wp-login.php HTTP/1.1" 404

2. 注入类攻击

看参数里是否出现：

SQL：' OR 1=1 --
XSS：<script>
命令注入：; cat /etc/passwd
路径遍历：../../

3. 异常状态码组合

200 + 敏感路径（可能已成功）
500 大量出现（可能触发漏洞）
302 到登录页（可能在绕过鉴权）

三、用“行为异常”发现未知攻击

很多攻击没有特征，要靠行为。

1. 时间异常

凌晨 3 点高频操作
平时无访问的 IP 突然出现

2. 账号异常

同一账号多地登录
普通用户访问管理员接口
登录成功后又频繁失败

3. 数据量异常

单次下载超大文件
接口返回字节数异常
数据库导出记录数暴增

四、用“关联分析”还原攻击链

单条日志往往看不出问题。

示例关联：

03:10  IP A 扫描 /admin
03:12  IP A 爆破登录失败
03:15  IP A 登录成功
03:16  该账号访问 /api/export 全量数据

→ 这是一次成功入侵 + 数据泄露

工具建议：

ELK / Splunk：做聚合和可视化
SIEM：自动关联告警
自写脚本：按 IP / 账号 / 时间窗口聚合

五、实战排查顺序（推荐）

看是否有 WAF / IDS 告警
统计 Top IP、Top URL、Top 状态码
筛敏感路径和异常参数
按账号和时间线还原行为
确认是否成功（看结果码和数据）

六、一个简单定位模板

你可以直接用：

哪些 IP
在什么时间
对什么资源
做了什么动作
结果是成功还是失败
是否涉及敏感数据

只要这 6 个问题能答清楚，攻击基本就定位出来了。

如果你愿意，可以把日志类型或一段脱敏日志发我，我可以直接帮你指出哪些是攻击迹象。