大西瓜的杂货铺

Lenny Zeltser给大家提供了一份checklist，用于提示管理和审计人员在面临安全突发事件的时候如何使用日志来发现入侵与违规。
这个checklist最有帮助的地方就在于告诉了管理人员应该重点关注哪些类型的日志。日志太多，您不可能都看得过来，要先看最关键的日志，例如登录访问控制失败、错误告警信息等。
便携版的文档参见：http://zeltser.com/log-management/security-incident-log-review-checklist.pdf

阅读全文

From：neeao

1.分析系统日志，一行一行看着实在累人，很多无关日志，能过滤下就好了。文本工具功能实在有限，于是乎，将windows系统日志导入sql server中，直接sql之……。实验了几把，最好的是，直接将系统日志导出为文本的，直接tab分割的，导入sql的时候：

新建数据库->导入数据->下一步->数据源选择文本文件->选择导出的txt文件->下一步->默认设置 ->下一步->选择制表符->下一步->选中新建的数据库->下一步->下一步->完成，等待导入吧，完了直 接查询分析器分析吧。

2.分析IIS日志的话，微软有一个不错的工具：log Parser,可以实现类似sql查询的方式来分析IIS日志，很是不错。

在系统检查和应急服务的时候经常要用到查看日志，在黑白上看到这篇文章，就转了过来。

成功地管理任何系统的关键之一，是要知道系统中正在发生什么事。Linux 中提供了异常日志，并且日志的细节是可配置的。Linux 日志都以明文形式存储，所以用户不需要特殊的工具就可以搜索和阅读它们。还可以编写脚本，来扫描这些日志，并基于它们的内容去自动执行某些功能。 Linux 日志存储在 /var/log 目录中。这里有几个由系统维护的日志文件，但其他服务和程序也可能会把它们的日志放在这里。大多数日志只有root账户才可以读，不过修改文件的访问权限就可以让其他人可读。

阅读全文