windows安全日志解析之logparser篇
发布时间：2022-05-13 09:29:45 所属栏目：安全 来源：互联网
导读：简而言之就是我们的输入源(多种格式的日志源)经过 SQL语句(有SQL引擎处理)处理后，可以输出我们想要的格式。 1、输入源 从这里可以看出它的基本处理逻辑，首先是输入源是某一种固定的格式，比如EVT(事件)，Registry(注册表)等，对于每一种输入源，它所涵盖的
|
简而言之就是我们的输入源(多种格式的日志源)经过 SQL语句(有SQL引擎处理)处理后，可以输出我们想要的格式。 1、输入源 从这里可以看出它的基本处理逻辑，首先是输入源是某一种固定的格式，比如EVT(事件)，Registry(注册表)等，对于每一种输入源，它所涵盖的字段值是固定的，可以使用logparser –h –i:EVT查出(这里以EVT为例)： 2、输出源 输出可以是多种格式，比如文本(CSV等)或者写入数据库，形成图表，根据自己的需求，形成自定的文件(使用TPL)等，比较自由 了解了输入和输出源，我们来看一则基本的查询结构 Logparser.exe –i:EVT –o:DATAGRID “SELECT * FROM E:logparserxx.evtx” 这是一则基本的查询，输入格式是EVT(事件)，输出格式是DATAGRID(网格)，然后是SQL语句，查询E:logparserxx.evtx的所有字段，结果呈现为网格的形式: 看到这里，想必你已经明白了，对于windows的安全日志分析，我们只需要取出关键进行判断或者比对，就可以从庞大的windows安全日志中提取出我们想要的信息。 对于windows安全日志分析，我们可以根据自己的分析需要，取出自己关心的值，然后进行统计、匹配、比对，以此有效获取信息，这里通过windows安全日志的EVENT ID迅速取出我们关心的信息，不同的EVENT ID代表了不同的意义，这些我们可以在网上很容易查到，这里列举一些我们平常会用到的。 （编辑：东莞站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐