服务器审计日志如何分析

服务器审计日志（如 Linux 的 auditd、Windows 的 安全日志、或者业务系统自身审计日志）分析的核心目标是：发现异常行为、追溯安全事件、满足合规要求。下面从方法论到实操给你一个完整思路。

一、明确审计日志里有什么

常见审计日志类型：

• 系统级
  • 登录/登出（SSH、RDP）
  • 权限变更（sudo、su）
  • 文件访问/修改
  • 命令执行
• 网络级
  • 端口访问
  • 异常外连
• 应用级
  • 管理员操作
  • 数据导出/删除

关键字段通常包括：

时间、主机、用户、IP、操作类型、对象、结果（成功/失败）

二、分析前的准备

1. 确定分析目标

• 安全事件溯源？（被黑了？）
• 合规性检查？（等保/ISO）
• 异常行为发现？（内部威胁）

2. 日志归一化

不同来源格式不同，建议统一为：

{
  "time": "2026-01-15T10:22:11",
  "host": "web01",
  "user": "root",
  "src_ip": "1.2.3.4",
  "action": "login",
  "result": "fail"
}

三、常见分析维度（重点）

1. 登录行为分析

关注：

• 非工作时间登录
• 多次失败登录（暴力破解）
• 陌生 IP / 地区登录

示例（Linux）：

grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c

2. 权限与命令审计

• sudo 使用是否异常
• 是否执行危险命令

grep "sudo" /var/log/audit/audit.log

危险命令示例：

rm -rf
wget / curl 下载脚本
chmod 777

3. 文件完整性

审计关键目录：

• /etc
• /bin, /sbin
• Web 目录

异常：

• 配置文件被改
• 新增可疑文件

4. 横向移动 & 外连

• 内网机器互登
• 对外异常连接

netstat -antp | grep ESTABLISHED

5. 批量/高频操作

• 短时间大量下载
• 批量删除用户
• 批量改权限

四、自动化分析方法

1. 日志集中

• ELK / Splunk / Loki
• 统一采集 audit + syslog

2. 规则告警

示例规则：

• 5 分钟内失败登录 > 10 次
• root 从新 IP 登录
• 非运维账号执行 sudo

3. 行为基线

• 建立“正常行为”
• 偏离即告警（UEBA）

五、实战排查流程（事件响应）

1. 定位时间窗
2. 还原操作链
   • 谁登录
   • 做了什么
   • 影响了什么
3. 确认影响范围
4. 补证据链（日志 + 文件时间戳）

六、常见误区

• 只看成功日志（失败更关键）
• 不重视时间同步（NTP）
• 日志没备份（被删就瞎了）

如果你愿意，可以告诉我：

• 用的是 Linux / Windows / 云服务器
• 日志是 auditd / 安全日志 / 应用日志
• 是想 排查入侵 / 合规 / 日常监控

我可以直接给你对应的命令或分析模板。