Asosiy xulosa
Hodisani ayni vaqt oynasidagi tizim, ilova va server yozuvlari bilan solishtiring. Avval joriy audit va jurnallash sozlamalarini tekshiring: qayd etilmagan hodisani keyinchalik jurnaldan tiklab boʻlmaydi.
Event Viewerda toʻgʻri jurnalni tanlang
Event Viewerda Windows Logs tarkibida Application, Security, Setup, System va Forwarded Events bor; Application and Services Logs esa mahsulot va xizmat kanallarini oladi. Foydalanuvchi xabari yoki monitoring signali bilan vaqt oynasini toraytiring, soʻng provayder, Event ID va daraja boʻyicha filtrlang. Faylga bevosita kirish odatda kerak emas; Event Viewer filtrlari va eksporti xavfsizroq, takrorlanuvchi tekshiruvni qoʻllaydi.
Vaqt oynasini toraytiring
Hodisadan oldingi va keyingi oynani tanlang; tizim soati va vaqt mintaqasini yozing.
Jurnal va darajani tanlang
System drayver va xizmatlarni, Application dastur xatolarini qamraydi, Security esa audit hodisalarini saqlaydi.
Bogʻliq yozuvlarni solishtiring
Bir nechta manbani vaqt, provayder, foydalanuvchi yoki bogʻlash IDsi boʻyicha solishtiring.
PowerShell bilan xatolarni oʻqing
Get-WinEvent Windows Event Log va ETW jurnallarini soʻraydi. FilterHashtable jurnalni oʻqish paytida vaqt, kanal va daraja shartlarini qoʻllaydi; bu katta jurnalni olib keyin filtrlashdan maʼqulroq. Misol oxirgi 24 soatda System jurnalidagi Error darajali hodisalarning cheklangan toʻplamini oʻqiydi. Ayrim kanallarga qoʻshimcha ruxsat kerak.
$since = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{ LogName = 'System'; Level = 2; StartTime = $since } -MaxEvents 100 | Select-Object TimeCreated, Id, ProviderName, LevelDisplayName, Message
Security hodisalarini kontekstda oʻqing
Security jurnalida 4624 muvaffaqiyatli kirish, 4625 muvaffaqiyatsiz urinishni bildiradi. Event IDning oʻzi buzib kirish dalili emas: hisob, kirish turi, manba manzili, xost, vaqt va ushbu hisobning kutilgan xatti-harakatini solishtiring. Hodisa yaratilishi audit siyosatiga bogʻliq; masalan, obyekt ruxsati oʻzgarishini 4670 sifatida yozish uchun mos audit va obyekt SACL talabi boʻlishi mumkin. 4688 hodisasi jarayon yaratilishini yozadi, lekin buyruq qatori maydoni alohida audit siyosati bilan yoqiladi. Har bir Event IDni amaldagi Microsoft hujjatlari va Windows versiyangizga solishtiring.
4624 va 4625
Muvaffaqiyatli va muvaffaqiyatsiz kirishlar; foydalanuvchi, kirish turi, manba xosti va natija bilan tahlil qiling.
Audit siyosati
Hodisaga kerakli audit toifasi yoqilganini tasdiqlang.
Eksport va ulashish
Yordam uchun eksportni cheklang; xabarlar foydalanuvchi, xost va ichki infratuzilma tafsilotlarini olishi mumkin.
IIS W3C jurnallashini sozlang
IIS 7 va keyingi versiyalar standart tarzda W3C formatidan foydalanadi; yoziladigan maydonlar server yoki sayt darajasida tanlanadi. #Fields satri shu fayldagi maydon tartibini yozadi. Sana/vaqt, mijoz IPsi, usul, URI yoʻli, HTTP holati, quyi holat va time-taken koʻpincha tashxisga foydali. UriQuery, referrer, user agent va maxsus maydonlar sezgir qiymatlarni olishi mumkin, shuning uchun ularni faqat zarur boʻlsa yoqing. IIS Managerda saytning Logging sozlamalari ostida format, katalog va maydonlarni tekshiring; odatdagi standart katalog %SystemDrive%\inetpub\logs\LogFiles.
HTTP holati
404 yoʻq resursni, 5xx esa server tomonidagi muammoni bildirishi mumkin; sababni toraytirish uchun quyi holat va ilova jurnallaridan foydalaning.
Vaqt va hajm
time-taken va yuborilgan baytlar kabi maydonlar sekin soʻrovni resurs yuki bilan bogʻlashga yordam beradi.
Maydon tanlash
Vazifa uchun maydonlarni tanlang, soʻrov satrlari va referrerlarda sezgir maʼlumot xavfini baholang.
Veb server jurnallarini taqqoslang
Apache, NGINX va IISda kirish jurnali formatlari va maydon nomlari farqlanadi, shu bois parserni sozlashdan oldin haqiqiy namuna satrlar va sarlavhalarni koʻring. Usul, URI, holat, javob hajmi, user agent va vaqt trafik andozalari hamda server xatolarini tushuntirishga yordam beradi. Robotlarni tahlil qilishda faqat user agent matniga ishonmang; uni mijoz beradi va taqlid qilish mumkin. Jurnal foydalanuvchining butun yoʻli yoki niyatini emas, server koʻrgan soʻrovlarni koʻrsatadi.
| Manba | Nimani koʻrsatadi | Tekshiruv |
|---|---|---|
| Kirish jurnali | Soʻrov, javob holati, uzatish va vaqt. | Format sarlavhasi va maydon tartibini tekshiring. |
| Xato/ilova jurnali | Server yoki kod xatosi, qism va kontekst. | Soʻrov IDsi va vaqt boʻyicha kirish yozuvlari bilan bogʻlang. |
Rotatsiya va saqlashni boshqaring
IIS vaqt davri yoki sozlangan hajm chegarasida yangi fayl boshlashi mumkin; bu oʻzi saqlash muddatini belgilamaydi. Windows Event Log maksimal hajmi va toʻlgan jurnal xatti-harakati alohida sozlanadi. Linux logrotate vaqt yoki hajmga koʻra fayllarni aylantirishi, arxivlashi va siqishi mumkin; ilova nomi oʻzgargan faylga yozishda davom etishini tekshiring. Har muhitda arxiv nusxalari, kirish huquqlari, oʻchirish vaqti va disk ishlatilishi ogohlantirishlarini belgilang. Tashkilotning masʼul mutaxassisi saqlash qoidasi amaldagi huquqiy yoki soha talablariga mosligini aniqlashi kerak.