網站伺服器被入侵該如何查詢攻擊日誌

2021-01-07 網站安全伺服器安全

當windows伺服器遭到入侵時，在運行過程中經常需要檢索和深入分析相應的安全日誌。除安全防護設備外，系統軟體內置系統日誌是調查取證的關鍵材料，但此類系統日誌數量非常龐大，須要對windows安全日誌開展合理深入分析，以獲取我們需要的有用信息，這一點尤為重要。本文詳細介紹了windows的系統日誌種類，存儲具體位置，檢索方式，以及使用工具的方便檢索。

系統日誌信息在windows系統軟體運行過程中會不斷地被記錄，依據記錄的種類能夠分成系統日誌、IIS系統日誌、ftp客戶端系統日誌、資料庫系統日誌、郵件服務系統日誌等。活動記錄，WindowsEventLog文件實際上是以一種特殊的數據結構存儲內容，包含關於系統軟體、安全性、應用軟體的記錄。在每一個記錄事件的數據結構中包含9個要素(這能夠理解為資料庫中的欄位)：日期/時間、事件種類、用戶、計算機、事件ID、源、類別、說明、數據等等。操作員能夠通過系統日誌調查取證，了解到計算機中發生的具體行為。

啟動-運行，鍵入bindvwr.msc點開事件查看器來查詢系統日誌。您能夠看到，事件查看器將系統日誌分成兩大類：windows系統日誌、應用軟體系統日誌和服務系統日誌，其中還有一些種類的事件，如應用軟體、安全性、setup、系統軟體、forwardedevent。下面分別開展詳細介紹：

活動種類

應用軟體系統日誌。

包含應用軟體或系統軟體程序記錄的事件，主要是記錄程序執行層面的事件，例如資料庫程序能夠記錄應用軟體系統日誌中的文件不正確，軟體開發人員能夠自己選擇要監視哪些事件。當一個應用軟體癱瘓時，我們可以從程序系統日誌中找到對應的記錄，這可能對解決問題有所幫助。

預設目錄位置：%SystemRoot%\系統軟體32\Winevt\登錄\應用軟體.evtx。

·系統日誌。

由作業系統組件發生的事件記錄，具體包含驅動軟體癱瘓、系統軟體組件和應用軟體癱瘓以及數據丟失不正確等。WindowsNT/2000作業系統預先定義了系統日誌中記錄的時間種類。

預設目錄位置：%SystemRoot%\System32\Winevt\登錄\系統軟體.evtx

·安全記錄

包含應用軟體或系統軟體程序記錄的事件，主要是記錄程序執行層面的事件，例如資料庫程序能夠記錄應用軟體系統日誌中的文件不正確，軟體開發人員能夠自己選擇要監視哪些事件。當一個應用軟體癱瘓時，我們可以從程序系統日誌中找到對應的記錄，這可能會幫助您解決問題。

溯源日誌排查總結：首先確認下網站被入侵後篡改文件的修改時間，然後查看下網站日誌文件中對應時間點有無POST的日誌URL，然後篩選出來查下此IP所有的日誌就能確定是否是攻擊者，如果伺服器被入侵的話可以查詢系統日誌看下最近時間的登錄日誌，以及有無增加默認管理員用戶之類的，如果想要更詳細的查詢是如何被入侵的話可以尋求網站安全公司的幫助，推薦SINESAFE,鷹盾安全，綠盟，啟明星辰，大樹安全等等這些都是很不錯的網站安全公司。

相關焦點

  • 網站伺服器被攻擊了如何查找木馬(webshell)IP 篡改的痕跡
    很對客戶網站以及伺服器被攻擊，被黑後，留下了很多webshell文件，也叫網站木馬文件，客戶對自己網站的安全也是很擔憂，擔心網站後期會繼續被攻擊篡改，畢竟沒有專業的安全技術去負責網站的安全防護工作，通過老客戶的介紹很多客戶在遇到網站被攻擊後找到我們SINE安全做網站的安全服務，防止惡意攻擊與篡改
  • 網站伺服器如何避免被攻擊,又該如何防護伺服器的安全?
    如今是電子化的社會，大多企業都會有自己的網站伺服器，用來運行企業的站點，但是在網絡化的時候，經常會遇到被黑客攻擊。在網際網路科技飛速發展的今天，黑客技術也在不斷發展，即使你的網站防護工作做得再好，也有黑客可以通過黑科技直接攻擊你的源IP，讓你的網站伺服器無法正常運行，用戶訪問到網站看到頁面遲遲加載不出來，也會失去耐心而離開，這對於企業來說會造成客戶的損失，保障伺服器安全是企業保障網站運行的重點問題，那我們怎麼樣防止網站伺服器被攻擊呢？
  • 香港伺服器一直被攻擊該如何處理
    相信「香港伺服器一直被攻擊該如何處理」的問題有不少人遇見，比如網站被掛馬、被黑、打不開等等各種各樣的問題，遇見這些著實讓不少站長頭疼，從修改管理帳號到遠程埠、網站安全防護、掃描漏洞等措施，還是搞不定，短時間還好，長時間或一直被攻擊就沒辦法了。
  • 美國伺服器網站常見的網絡攻擊類型
    CC攻擊主要是用來攻擊美國伺服器網站頁面，當網頁訪問人數特別多的時候，網頁加載速度就會變慢，而CC攻擊就是模擬多個用戶不停地進行訪問那些需要大量數據操網站的頁面，造成美國伺服器資源的擁堵，CPU長時間處於100%的運行狀態，一直有處理不完的請求而正常的訪問被中止。
  • 伺服器又雙叒叕被攻擊了，企業該如何應對伺服器攻擊事件？
    例如炫耀技術，得到企業機密數據，破壞企業正常的業務流程等，有時也有可能在入侵後，攻擊者的攻擊行為，由某種目的變成了另一種目的。例如，本來是炫耀技術，但在進入系統後，發現了一些重要的機密數據，由於利益的驅使，攻擊者最終竊取了這些機密數據。攻擊者入侵系統的目的不同，使用的攻擊方法不同，所造成的影響範圍和損失也各不相同。
  • 我們要如何應對伺服器攻擊事件？
    如今網絡技術發達，和網際網路相關的應用越來越多，而這些應用的發布都離不開伺服器的存在，所以說網際網路技術的發展，將企業的很多業務搬到線上，但同時也使得網絡安全的問題一直在困擾著企業。企業的網絡業務發展得越好，越容易被黑客盯上，受到網絡攻擊的威脅就越大。當我們的伺服器受到攻擊時，我們應該如何應對呢?
  • 網站被攻擊的常見形式有哪些?應如何應對?
    網站伺服器運行緩慢，被植入蠕蟲等病毒有時候站長會發現網站運行更新或在伺服器操作異常緩慢，我們查看伺服器的進程管理會發現，有運行佔據高CPU、高內存的進程。這是查殺木馬，往往會查出蠕蟲等病毒。其目的在於佔據網站資源，或伺服器自身被攻擊入侵，作為一種「肉雞」用來攻擊其他人的平臺。被攻擊網站，往往是一些高性能、高帶寬的伺服器。
  • 網站被攻擊怎麼辦 如何查找網站漏洞攻擊源
    很多企業網站被攻擊，導致網站打開跳轉到別的網站，尤其一些彩票等非法網站上去，甚至有些網站被攻擊的打不開，客戶無法訪問首頁，給客戶造成了很大的經濟損失，很多客戶找到我們SINE安全公司尋求防止網站被攻擊的解決方案，針對這一情況，我們安全部門的技術，給大家普及一下網站被攻擊後該如何查找攻擊源以及對檢測網站存在的漏洞
  • 如何基於Office 365提供的日誌等信息分析商業郵箱入侵事件
    一般而言，研究人員把O365攻擊分為兩類：　　·商業電子郵件攻擊（BEC）；　　·APT或國家贊助的入侵；　　根據研究人員的經驗，BEC對任何組織的O365租戶都是常見的攻擊。術語「BEC」通常是指出於經濟動機的攻擊者實施的一種欺詐。
  • 如何防禦SQL注入攻擊 網站安全狗來幫忙
    SQL注入通過網頁對網站資料庫進行修改，能直接在資料庫中添加具有管理員權限的用戶，從而最終獲得系統管理員權限。黑客可以利用獲得的管理員權限任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。
  • 這些惡意的網絡伺服器行為你中招了嗎?我們該如何應對?
    這些惡意的網絡伺服器行為你中招了嗎？我們該如何應對？ 隨著網際網路的迅速發展，網絡安全面臨著嚴峻的挑戰，一些惡意的網絡伺服器行為也層出不窮。
  • 網站被攻擊 如何查找漏洞並進行修復
    很多公司的網站被攻擊，導致網站打開跳轉到別的網站上去，網站快照也被篡改，收錄一些非法的內容快照，有些網站資料庫都被篡改，修改了會員資料，資料庫被刪除，等等攻擊症狀，我們SINE安全在解決客戶網站被攻擊的問題，發現都是由於網站存在漏洞導致的，攻擊者利用網站的漏洞對網站進行攻擊，上傳webshell
  • 伺服器遭受攻擊後應該如何處理？
    網絡攻擊有很多種，網絡上常用的攻擊有DDOS攻擊、SYN攻擊、ARP攻擊以及木馬、病毒等等，再安全的伺服器也避免不了網絡的攻擊。所以作為網絡運維人員需要做到：維護好系統的安全，修復已知的系統漏洞等，同時在伺服器遭受攻擊時需要迅速的處理攻擊，最大限度降低攻擊對網絡造成的影響。那麼在伺服器被攻擊後需要怎麼處理呢？
  • 企業網站被攻擊的常見形式有哪些？
    ，這種情況往往是由於企業競爭激烈，非法的競爭對手僱傭網絡黑客，惡意攻擊自己的網站程序和伺服器，導致網站或伺服器無法正常運行，諸如大量的DDoS攻擊、CC攻擊、直接破壞或刪除網站數據。其目的在於惡意的攻擊炫耀或廣告利益。被攻擊的網站為所有類網站。 （十）網站伺服器運行緩慢，被植入蠕蟲等病毒：有時候站長會發現網站運行更新或在伺服器操作異常緩慢，我們查看伺服器的進程管理會發現，有運行佔據高CPU、高內存的進程。這時查殺木馬，往往會查出蠕蟲等病毒。其目的在於佔據網站資源，或伺服器自身被攻擊入侵，作為一種「肉雞」用來攻擊其他人的平臺。
  • 「技術視界」網站防入侵,如何檢測webshell?
    世界上沒有絕對安全的系統當一名黑客獲得你的訪問控制權限他可以操作你的伺服器你的資料庫，你的後臺甚至，你的一切……網站被入侵了？辦案人員常常接到這樣的案件：某單位網站遭黑客入侵，被非法上傳webshell，首頁被修改，系統功能不能正常使用，網站目錄下面被上傳了大量的asp、php、htm的頁面，網站資料庫數據被竊取，黑客還赤裸裸的留下大名。
  • 香港伺服器網站做SEO優化如何保證安全？
    租用香港伺服器建設網站，不管是不是以盈利為目的，只要想把網站建設好，吸引更多的流量，就需要對網站做SEO優化，以取得搜尋引擎蜘蛛的青睞，獲得更好的網站排名。不過這個競爭是很激烈的，為了網站排名獲得優勢，無數網站在SEO優化時方法各異、各顯神通，有時候反而會對網站安全產生威脅，那麼在做網站SEO優化時要如何保證安全呢？
  • 如何最大限度地保護伺服器不招受攻擊
    如何最大限度地保護伺服器？如果我們無法阻止這種攻擊，可以採取哪些措施？颶風科技挽風來告訴你分布式拒絕服務（DDoS）是一種完全不同的攻擊，你阻止不了黑客對你這麼做，除非您主動斷開與網際網路的連接，否則它會對你的網站發起DDoS攻擊。
  • windows伺服器被黑客攻擊後排查步驟
    常見的應急響應事件分類：web入侵：網頁掛馬、主頁篡改、Webshell系統入侵：病毒木馬、勒索軟體、遠控後門網絡攻擊：DDOS攻擊、DNS劫持、ARP欺騙針對常見的攻擊事件，結合工作中應急響應事件分析和解決的方法，總結了一些Window伺服器入侵排查的思路。
  • 伺服器被攻擊後應該如何防禦呢
    伺服器被攻擊後應該如何防禦呢 我們經常聽說某個網站或應用伺服器遭到攻擊，網站無法打開和訪問。面對這種現象，我們能採取什麼預防措施呢。伺服器上的開放埠被黑客利用，他們通過這些開放埠攻擊伺服器。相對有效的預防方法是關閉一些不必要的埠，然後修改重要埠。如果你少開放一個對外開放的埠，他們將缺少入侵路徑。如果您打開了一個服務，這意味著要向外部打開一個額外的埠，那麼您應該在關閉該埠的同時關閉一些不必要的服務。另外，修改一些比較重要的埠可以增加黑客攻擊的難度，從而可以有效地保護我們的伺服器。
  • 伺服器如何區分攻擊類型?
    造成伺服器無法訪問的原因有很多，簡單一點的系統故障，一般重啟一就恢復，而複雜一點的比如系統或應用程式崩潰，就要爭取備份數據，重裝系統和程序；而更為麻煩的病毒入侵造成伺服器無法訪問，如果實在無法爭奪伺服器權限或者阻止數據洩露，就只能儘快重裝系統，重新設置防火牆。最麻煩的就是被DDOS或CC這一類的流量攻擊，如果機房沒有防禦，那只能等攻擊停止，伺服器才會恢復正常。