腾讯云日志审计系统如何对日志进行分析
本章介绍如何对日志进行分析。主要包含以下内容：
查看日志：介绍日志查看的方法。
临时检索日志：介绍临时检索的方法。
快捷检索配置：介绍快捷检索的方法。
保存检索条件：介绍保存检索条件的方法。
历史日志分析：介绍历史日志分析的方法。
快捷检索日志：介绍快捷检索日志的方法。
重点关注日志：介绍重点关注日志的查看方法。
日志导出：介绍导出日志的方法。
查看日志
选择菜单 日志分析，默认进入日志查看页面
系统默认显示最近一个小时内的日志的监控信息。管理员可以配置搜索条件，具体介绍请参见下文 快捷检索配置。
自动刷新功能默认关闭，使用F5快捷键可以手动刷新页面信息；如需开启自动刷新，需要先选择刷新频率，然后单击按钮，
日志分析支持通过选择两类属性进行日志分析：日志属性和资产属性，其中资产属性支持按照资产名称和资产标签进行进一步检索
其中，按照分类检索出的日志支持配置是否显示空字段，以及支持跳转至事件规则页面配置相应的事件规则
临时检索日志
根据指定条件检索日志的具体操作如下：
步骤 1 选择菜单 日志分析，进入日志查看页面，默认显示最近1个小时内收集到的全部日志
步骤 2 选择时间范围。
除了选择系统给出的最近1小时、最近24小时、最近7天、最近30天之外，还可以选择自定义，然后单击 ，设置产生日志的时间范围。
步骤 3 选择属性。
a. 如果选择日志属性，则需配置待查询的日志和查询条件，按照所选日志类型，设置查询条件。根据所选日志类型所在的大类不同，需要设置的查询条件略有不同
|
全部日志 |
日志来源IP |
日志源设备的IP地址。 |
|
安全设备日志 |
日志来源IP |
日志源设备的IP地址。 |
|
源/目的IP |
日志中的源/目的IP地址。 |
|
|
源/目的端口 |
日志中的源/目的端口号。 |
|
|
网络设备日志 |
日志来源IP |
日志源设备的IP地址。 |
|
数据库数据 |
日志来源IP |
日志源设备的IP地址。 |
|
Windows主机事件日志 |
日志来源IP |
日志源设备的IP地址。 |
|
用户 |
日志中的用户名称。 |
|
|
操作 |
日志中的对主机进行的操作。 |
|
|
日志名称 |
日志的名称。 |
|
|
Linux主机系统日志 |
日志来源IP |
日志源设备的IP地址。 |
|
日志名称 |
日志的名称。 |
|
|
WEB服务器日志 |
日志来源IP |
日志源设备的IP地址。 |
|
客户端IP |
日志中记录的客户端IP地址。 |
|
|
协议版本 |
日志中的协议版本信息。 |
|
|
请求方法 |
向WEB服务器发起请求的方法。 |
|
|
状态码 |
WEB服务器响应请求的状态码。 |
|
|
虚拟化平台日志 |
日志来源IP |
日志源设备的IP地址。 |
|
网络设备流量 |
日志来源IP |
日志源设备的IP地址。 |
|
源/目的IP |
日志中的源/目的IP地址。 |
|
|
源/目的端口 |
日志中的源/目的端口号。 |
|
|
其它日志 |
日志来源IP |
日志源设备的IP地址。 |
b. 如果选择资产属性，则需配置资产名称和标签。
步骤 4 （可选）配置自定义检索条件。
a. 如果需要进一步细化查询结果，则可以在自定义检索文本框中输入查询条件。
b. 单击【搜索】按钮，页面默认以列表形式展示搜索结果。
步骤 5 设置日志分析条件后后，满足条件的日志以列表形式展示，可以查看日志的统计图和列表
查看日志统计图
如果想查看查询结果的图表形式，单击检索结果列表左上角的，生成的图表将显示在列表上方
月图
选择的时间范围为（30~100）天，时间粒度为月。
日图
选择的时间范围为（24 ~24*30）小时，时间粒度为天。
时图
选择的时间范围为（0 ~24）小时，时间粒度为小时。
鼠标指向柱状图，可以查看相应的日志总量
单击/ ，可以将统计图展示形式在柱状图/折线图之间切换。
单击，可以将统计图保存为图片。
查看日志列表
查看日志详情
日志列表中展示日志原文及日志解析及字段转义后的内容。
筛选列表中的展示内容
单击日志列表中日志产生时间前的图标，展开LAS处理后的日志，可以查看所有字段信息。
配置字段提取
鼠标悬浮于某条日志，出现字段提取图标，单击该图标，进入数据源的字段提取页面，可以配置字段提取规则。具体介绍请参见配置字段提取规则。
导出日志
日志列表左上方展示查询时间范围内的最新日志数，单击按钮，将弹出日志文件压缩包的密码设置界面（若不设置，导出的日志文件压缩包将使用默认密码logaudit），设置后导出的日志文件需要设置正确的密码才能解压缩。
显示/隐藏空字段
单击按钮可以显示空字段。此时单击按钮即可隐藏空字段。
配置事件规则
单击可以配置事件规则。
快捷检索配置
配置快捷检索的具体操作如下：
步骤 1 在图5-1 所示页面，单击蓝色文字链接“快捷检索配置”或者在快捷检索页面，单击图标 ，进入日志分析配置页面，如图5-7所示。
5-7日志分析配置
步骤 2 添加分组。
a. 单击分组列表中的，弹出新建分组对话框，如图5-8所示。
5-8新建分组
b. 配置分组名称。
名称的取值范围为1~30个字符；不允许包含特殊字符；名称不允许相同。
c. 单击【确定】按钮。
步骤 3 （可选）根据需要，添加子组。
a. 在分组列表中选择一个分组。
b. 单击右侧子组列表中的 。
弹出添加子组对话框，如图5-8所示。
c. 配置子组名称。
名称的取值范围为1~30个字符；不允许包含特殊字符；名称不允许相同。
d. 单击【确定】按钮。
步骤 4 添加检索条件。
选择一个分组/子组，将5.1.5 保存检索条件中保存的未分类分组拖拽至该分组中即可。
单击某个检索条件的名称，将跳转至如图5-1所示页面，可以重新配置检索条件的内容。
步骤 5 单击【确定】按钮。
----结束
保存检索条件
LAS支持手动保存 5.1.3 临时检索日志 中使用的搜索条件，以便用户对满足该条件的日志进行多次搜索。
手动保存检索条件的具体操作如下：
步骤 1 在如图5-1所示的日志查看页面，配置检索条件。
步骤 2 单击检索框下方的蓝色文字链接“保存检索条件”。
弹出检索另存为对话框，如图5-9所示。
5-9检索另存为
步骤 3 配置当前检索条件的名称。
步骤 4 保存检索条件。
单击【保存】或【保存并分组】按钮，将检索条件保存至 快捷检索配置 的未分类分组中。
----结束
历史日志分析
当LAS系统中的日志量满6个月，或系统接入的日志量超过30亿时，超限部分的日志会按照时间先后顺序进行压缩后离线，LAS系统最多可重载2亿条离线日志。
若用户需要查看因超限而离线的日志信息，可以通过重载离线日志对历史日志进行查询、查看。重载离线日志时，LAS系统将压缩的日志信息进行解压。
步骤 1 选择菜单 日志分析 > 日志分析，进入日志分析页面，日志满6个月或日志量超过30亿，页面将出现提示，如图5-10 所示。
5-10 日志量超30亿
步骤 2 单击文字链接“重载离线日志”，进入历史日志分析页面，如图5-11 所示。
5-11 历史日志分析
页面左侧陈列所有类型的日志，日志后有数字显示的，表示LAS对该类日志进行过离线缓存，存在离线索引，数字代表离线索引的数量。
页面右侧以日历形式展示某类型日志1~6月或7~12月离线缓存情况。若当前月份属于上半年，则页面右侧展示1~6月的离线缓存情况，当前月份属于下半年，则页面右侧展示7~12月的离线缓存情况。
单击某一类型日志，页面右侧显示该类日志的离线索引情况：
a. 灰色气泡表示未重载的离线索引，灰色气泡的数量表示未重载离线索引的数量；
b. 蓝色气泡表示已重载的离线索引，蓝色气泡的数量表示已重载离线索引的数量；
c. 灰色气泡和蓝色气泡的位置表示离线缓存的时间。
步骤 3 选择离线索引。
单击页面右侧某一灰色气泡，气泡颜色由灰色变为蓝色，表示选择该离线索引进行重载。
步骤 4 单击【保存并重载】按钮，重载选定的离线索引中离线的日志数据供用户查询。
----结束
快捷检索日志
用户可以使用常用检索条件，快速搜索满足条件的日志，具体操作如下：
步骤 1 在图5-1 所示页面，切换页签到“快捷检索”，如图5-12 所示。
快捷检索条件
步骤 2 单击左侧的日志类型，并选择下一级的日志，页面右侧将显示检索到的日志详情。
检索必须为三级标题，一级，二级标题不支持检索。
步骤 3 单击图标，即可在重点关注日志中添加该条日志分析信息。
----结束
重点关注日志
用户可以使用重点关注日志，快速搜索满足条件的日志，具体操作如下：
步骤 1 在图5-1 所示页面，切换页签到“重点关注”，如图5-13所示。
重点关注日志
步骤 2 单击左侧的日志类型，页面右侧将显示检索到的日志详情。
步骤 3 单击图标，即可在重点关注日志中移除该条日志分析信息。
步骤 4 单击图标，即可在重点关注日志中上下腾讯该日志的排序。
----结束
日志导出
日志导出分为导出全部日志和导出指定字段的日志。
导出全部日志的操作如下：
步骤 1 在如图5-5 所示页面，在日志类型中，选择全部日志，在右侧的日志详情页面，单击蓝色文字链接“日志导出”，进入日志导出配置页面，如图5-14所示。
5-14 全部日志导出
步骤 2 配置导出时的日志解压缩密码，单击【确定】，即可导出全部日志到本地。
----结束
导出指定字段日志的操作如下：
步骤 1 在如图5-5所示页面，在日志类型中，选择任意一种类型的日志，在右侧的日志详情页面，单击蓝色文字链接“日志导出”，进入日志导出配置页面，如图5-15所示。
5-15 字段日志导出
步骤 2 配置导出时的日志解压缩密码，并在导出字段参数下，左侧的选择框中选择需要导出的字段。
步骤 3 单击【确定】，即可导出指定字段的日志到本地。