腾讯云日志审计系统如何对日志进行分析

本章介绍如何对日志进行分析。主要包含以下内容:

查看日志:介绍日志查看的方法。
 
临时检索日志:介绍临时检索的方法。
 
快捷检索配置:介绍快捷检索的方法。
 
保存检索条件:介绍保存检索条件的方法。
 
历史日志分析:介绍历史日志分析的方法。
 
快捷检索日志:介绍快捷检索日志的方法。
 
重点关注日志:介绍重点关注日志的查看方法。
 
日志导出:介绍导出日志的方法。
 
查看日志
选择菜单 日志分析,默认进入日志查看页面
系统默认显示最近一个小时内的日志的监控信息。管理员可以配置搜索条件,具体介绍请参见下文 快捷检索配置。
自动刷新功能默认关闭,使用F5快捷键可以手动刷新页面信息;如需开启自动刷新,需要先选择刷新频率,然后单击按钮,
 
日志分析支持通过选择两类属性进行日志分析:日志属性和资产属性,其中资产属性支持按照资产名称和资产标签进行进一步检索
 
其中,按照分类检索出的日志支持配置是否显示空字段,以及支持跳转至事件规则页面配置相应的事件规则

临时检索日志
根据指定条件检索日志的具体操作如下:
 
步骤 1 选择菜单 日志分析,进入日志查看页面,默认显示最近1个小时内收集到的全部日志
步骤 2 选择时间范围。
除了选择系统给出的最近1小时、最近24小时、最近7天、最近30天之外,还可以选择自定义,然后单击 ,设置产生日志的时间范围。
 
步骤 3 选择属性。
a. 如果选择日志属性,则需配置待查询的日志和查询条件,按照所选日志类型,设置查询条件。根据所选日志类型所在的大类不同,需要设置的查询条件略有不同

全部日志

日志来源IP

日志源设备的IP地址。

安全设备日志

日志来源IP

日志源设备的IP地址。

源/目的IP

日志中的源/目的IP地址。

源/目的端口

日志中的源/目的端口号。

网络设备日志

日志来源IP

日志源设备的IP地址。

数据库数据

日志来源IP

日志源设备的IP地址。

Windows主机事件日志

日志来源IP

日志源设备的IP地址。

用户

日志中的用户名称。

操作

日志中的对主机进行的操作。

日志名称

日志的名称。

Linux主机系统日志

日志来源IP

日志源设备的IP地址。

日志名称

日志的名称。

WEB服务器日志

日志来源IP

日志源设备的IP地址。

客户端IP

日志中记录的客户端IP地址。

协议版本

日志中的协议版本信息。

请求方法

向WEB服务器发起请求的方法。

状态码

WEB服务器响应请求的状态码。

虚拟化平台日志

日志来源IP

日志源设备的IP地址。

网络设备流量

日志来源IP

日志源设备的IP地址。

源/目的IP

日志中的源/目的IP地址。

源/目的端口

日志中的源/目的端口号。

其它日志

日志来源IP

日志源设备的IP地址。

b. 如果选择资产属性,则需配置资产名称和标签。
 
步骤 4 (可选)配置自定义检索条件。
a. 如果需要进一步细化查询结果,则可以在自定义检索文本框中输入查询条件。
b. 单击【搜索】按钮,页面默认以列表形式展示搜索结果。
 
步骤 5 设置日志分析条件后后,满足条件的日志以列表形式展示,可以查看日志的统计图和列表

查看日志统计图
如果想查看查询结果的图表形式,单击检索结果列表左上角的,生成的图表将显示在列表上方

月图
选择的时间范围为(30~100)天,时间粒度为月。
 
日图
选择的时间范围为(24 ~24*30)小时,时间粒度为天。
 
时图
选择的时间范围为(0 ~24)小时,时间粒度为小时。
鼠标指向柱状图,可以查看相应的日志总量
 
单击/ ,可以将统计图展示形式在柱状图/折线图之间切换。
单击,可以将统计图保存为图片。
查看日志列表
查看日志详情
日志列表中展示日志原文及日志解析及字段转义后的内容。
 
筛选列表中的展示内容
单击日志列表中日志产生时间前的图标,展开LAS处理后的日志,可以查看所有字段信息。
 
配置字段提取
鼠标悬浮于某条日志,出现字段提取图标,单击该图标,进入数据源的字段提取页面,可以配置字段提取规则。具体介绍请参见配置字段提取规则。
 
导出日志
日志列表左上方展示查询时间范围内的最新日志数,单击按钮,将弹出日志文件压缩包的密码设置界面(若不设置,导出的日志文件压缩包将使用默认密码logaudit),设置后导出的日志文件需要设置正确的密码才能解压缩。
 
显示/隐藏空字段
单击按钮可以显示空字段。此时单击按钮即可隐藏空字段。
 
配置事件规则
单击可以配置事件规则。
 
 
 
快捷检索配置
配置快捷检索的具体操作如下:
 
步骤 1 在图5-1 所示页面,单击蓝色文字链接“快捷检索配置”或者在快捷检索页面,单击图标 ,进入日志分析配置页面,如图5-7所示。
5-7日志分析配置
 
 
 
 
步骤 2 添加分组。
a. 单击分组列表中的,弹出新建分组对话框,如图5-8所示。
 
5-8新建分组
 
 
 
 
b. 配置分组名称。
 
名称的取值范围为1~30个字符;不允许包含特殊字符;名称不允许相同。
 
c. 单击【确定】按钮。
 
步骤 3 (可选)根据需要,添加子组。
a. 在分组列表中选择一个分组。
 
b. 单击右侧子组列表中的 。
 
弹出添加子组对话框,如图5-8所示。
 
c. 配置子组名称。
 
名称的取值范围为1~30个字符;不允许包含特殊字符;名称不允许相同。
 
d. 单击【确定】按钮。
 
步骤 4 添加检索条件。
选择一个分组/子组,将5.1.5 保存检索条件中保存的未分类分组拖拽至该分组中即可。
 
 
 
单击某个检索条件的名称,将跳转至如图5-1所示页面,可以重新配置检索条件的内容。
 
 
 
步骤 5 单击【确定】按钮。
----结束
 
保存检索条件
LAS支持手动保存 5.1.3 临时检索日志 中使用的搜索条件,以便用户对满足该条件的日志进行多次搜索。
 
手动保存检索条件的具体操作如下:
 
步骤 1 在如图5-1所示的日志查看页面,配置检索条件。
步骤 2 单击检索框下方的蓝色文字链接“保存检索条件”。
弹出检索另存为对话框,如图5-9所示。
 
5-9检索另存为
 
 
 
 
步骤 3 配置当前检索条件的名称。
步骤 4 保存检索条件。
单击【保存】或【保存并分组】按钮,将检索条件保存至 快捷检索配置 的未分类分组中。
----结束
 
 历史日志分析
当LAS系统中的日志量满6个月,或系统接入的日志量超过30亿时,超限部分的日志会按照时间先后顺序进行压缩后离线,LAS系统最多可重载2亿条离线日志。
 
若用户需要查看因超限而离线的日志信息,可以通过重载离线日志对历史日志进行查询、查看。重载离线日志时,LAS系统将压缩的日志信息进行解压。
 
步骤 1 选择菜单 日志分析 > 日志分析,进入日志分析页面,日志满6个月或日志量超过30亿,页面将出现提示,如图5-10 所示。
5-10 日志量超30亿
 
 
 
 
步骤 2 单击文字链接“重载离线日志”,进入历史日志分析页面,如图5-11 所示。
5-11 历史日志分析
 
 
 
 
页面左侧陈列所有类型的日志,日志后有数字显示的,表示LAS对该类日志进行过离线缓存,存在离线索引,数字代表离线索引的数量。
 
页面右侧以日历形式展示某类型日志1~6月或7~12月离线缓存情况。若当前月份属于上半年,则页面右侧展示1~6月的离线缓存情况,当前月份属于下半年,则页面右侧展示7~12月的离线缓存情况。
 
单击某一类型日志,页面右侧显示该类日志的离线索引情况:
 
a. 灰色气泡表示未重载的离线索引,灰色气泡的数量表示未重载离线索引的数量;
 
b. 蓝色气泡表示已重载的离线索引,蓝色气泡的数量表示已重载离线索引的数量;
 
c. 灰色气泡和蓝色气泡的位置表示离线缓存的时间。
 
步骤 3 选择离线索引。
单击页面右侧某一灰色气泡,气泡颜色由灰色变为蓝色,表示选择该离线索引进行重载。
 
步骤 4 单击【保存并重载】按钮,重载选定的离线索引中离线的日志数据供用户查询。
----结束
 
快捷检索日志
用户可以使用常用检索条件,快速搜索满足条件的日志,具体操作如下:
 
步骤 1 在图5-1 所示页面,切换页签到“快捷检索”,如图5-12 所示。
快捷检索条件
 
 
 
 
步骤 2 单击左侧的日志类型,并选择下一级的日志,页面右侧将显示检索到的日志详情。
检索必须为三级标题,一级,二级标题不支持检索。
 
步骤 3 单击图标,即可在重点关注日志中添加该条日志分析信息。
----结束
 
 
 
重点关注日志
用户可以使用重点关注日志,快速搜索满足条件的日志,具体操作如下:
 
步骤 1 在图5-1 所示页面,切换页签到“重点关注”,如图5-13所示。
重点关注日志
 
 
 
 
步骤 2 单击左侧的日志类型,页面右侧将显示检索到的日志详情。
步骤 3 单击图标,即可在重点关注日志中移除该条日志分析信息。
步骤 4 单击图标,即可在重点关注日志中上下腾讯该日志的排序。
----结束
 
日志导出
日志导出分为导出全部日志和导出指定字段的日志。
 
导出全部日志的操作如下:
 
步骤 1 在如图5-5 所示页面,在日志类型中,选择全部日志,在右侧的日志详情页面,单击蓝色文字链接“日志导出”,进入日志导出配置页面,如图5-14所示。
5-14 全部日志导出
 
 
 
 
步骤 2 配置导出时的日志解压缩密码,单击【确定】,即可导出全部日志到本地。
----结束
 
 
 
导出指定字段日志的操作如下:
 
步骤 1 在如图5-5所示页面,在日志类型中,选择任意一种类型的日志,在右侧的日志详情页面,单击蓝色文字链接“日志导出”,进入日志导出配置页面,如图5-15所示。
5-15 字段日志导出
 
步骤 2 配置导出时的日志解压缩密码,并在导出字段参数下,左侧的选择框中选择需要导出的字段。
步骤 3 单击【确定】,即可导出指定字段的日志到本地。