3.9、防守者的眼睛：日志分析与入侵检测入门

最新推荐文章于 2025-12-12 14:04:07 发布

原创最新推荐文章于 2025-12-12 14:04:07 发布 · 694 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #网络安全 #运维

现代网络攻防实战指南：从红队视角到蓝队防御专栏收录该内容

16 篇文章

订阅专栏

——从日志到告警，构建你的第一条安全防线

在很多安全事件中，攻击者突破防线往往只需要“一次成功”，但防守者必须 每一次都成功。面对这种天然的不对等，日志分析与入侵检测（IDS/HIDS）成为防守者最关键的侦查手段之一。

这篇文章将带你从零理解日志的价值、入侵检测的基本原理，并快速建立自己的初级安全监控体系。

一、为什么日志是安全人员的“眼睛”？

几乎所有安全事件的真相，都藏在日志里。

勒索病毒什么时候进入系统？
入侵者做了哪些操作？
数据是如何被外传的？
哪台设备成了内网突破点？

日志告诉你全部答案。

但现实中，多数企业：

❌ 日志没集中
❌ 日志没保留
❌ 日志没分析
❌ 告警完全靠运气

因此，很多攻击不是发现不了，而是 没有被看见。

二、常见日志类型：从哪里发现安全线索？

安全日志可以分为三大类，每类都有典型的攻击痕迹。

（1）系统日志：攻击者落地后的行动轨迹

系统	关键日志	能发现什么？
Linux	/var/log/auth.log	SSH 爆破、可疑 sudo、反弹 shell
Windows	安全事件日志（4624、4625、4688）	异常登录、恶意进程、横向移动
容器	Docker/K8s 事件	越权容器、逃逸行为

系统日志反映的是行为：谁登录了、执行了什么命令、权限是否提升。

示例：SSH 爆破攻击日志

Failed password for root from 192.168.6.50 port 35112 ssh2

Failed password for root from 192.168.6.50 port 35183 ssh2

Failed password for root from 192.168.6.50 port 35219 ssh2

出现大量类似记录，几乎可以肯定是暴力破解。

（2）网络设备日志：攻击进入企业的第一线索

典型设备：

防火墙（FW）
VPN
WAF
IDS/IPS
交换机/路由器

可帮助发现：

端口扫描
拒绝服务（DoS）
恶意流量
异常访问模式
漏洞利用行为

例如：WAF 触发 SQL 注入告警

Rule: SQL Injection attempt detected from 10.1.2.3 targeting /login

这基本说明网站已成为攻击者探测目标。

（3）应用日志：业务层的“真相”

常见来源：

Web 应用
API Gateway
中间件（Nginx / Apache / Tomcat）
数据库（MySQL / PostgreSQL）

可发现：

越权访问
爆破登录
API 滥用
敏感数据外泄

典型 Nginx 异常访问：

"GET /admin/export?path=/etc/passwd HTTP/1.1"

这就是一次明显的目录遍历攻击尝试。

三、入侵检测系统 IDS/HIDS 基础概念

入侵检测是理解攻击行为的核心技术，一般分为两类：

1. HIDS（主机入侵检测）——监控主机行为

典型开源 HIDS：Wazuh、OSSEC、Falco

监控范围包括：

系统日志
文件完整性（FIM）
进程行为
异常网络连接
rootkit 检测

适用场景：服务器、容器、终端。

2. NIDS（网络入侵检测）——监控网络流量

典型开源 NIDS：Suricata、Snort

检测范围包括：

恶意 Payload
漏洞利用（如 Log4j 攻击包）
后门通信
C2 流量
扫描、端口探测

适用场景：数据中心边界、核心交换区、云环境流量镜像。

HIDS vs NIDS 的区别与关系

项目	HIDS	NIDS
监控范围	主机内部行为	网络流量
能力	进程、登录、文件	Payload、横向流量
发现行为	异常操作、恶意程序落地	扫描、利用、C2
单点 vs 全局	单个节点	整个网络