Əsas fikir
Hadisəni eyni vaxt aralığında olan sistem, tətbiq və server qeydləri ilə tutuşdurun. Əvvəlcə mövcud audit və log səviyyəsini yoxlayın: qeydə alınmayan hadisəni sonradan jurnaldan tapmaq mümkün deyil.
Event Viewer-də düzgün jurnalı seçin
Event Viewer-də Windows Logs bölməsi Application, Security, Setup, System və Forwarded Events jurnallarını göstərir; Application and Services Logs isə məhsul və xidmətə aid kanalları ehtiva edir. Nasazlıq vaxtını əvvəlcə istifadəçi hesabatı və ya monitorinq siqnalı ilə məhdudlaşdırın, sonra provider, Event ID və səviyyəyə görə süzün. Fayl yoluna birbaşa baxmaq adətən lazım deyil; Event Viewer ixracı və filtrləri daha təhlükəsiz, təkrarlana bilən araşdırma verir.
Vaxtı məhdudlaşdırın
Hadisədən bir qədər əvvəl və sonra olan aralığı seçin; sistem saatı və vaxt qurşağını qeyd edin.
Jurnalı və səviyyəni seçin
System sürücü və xidmət, Application proqram xətaları, Security isə audit hadisələri üçündür.
Əlaqəli qeydləri tutuşdurun
Eyni vaxt, provider, istifadəçi və ya correlation ID-si üzrə bir neçə mənbəni yoxlayın.
PowerShell ilə xətaları oxuyun
Get-WinEvent Windows Event Log və ETW jurnallarını sorğulayır. FilterHashtable vaxt, kanal və səviyyə kimi şərtləri jurnalı oxuyarkən tətbiq edir; bu, böyük jurnalda bütün nəticələri əvvəlcə götürüb sonra süzməkdən daha məqsədə uyğundur. Aşağıdakı nümunə son 24 saatda System jurnalındakı Error səviyyəli hadisələrin məhdud siyahısını oxuyur. Bəzi kanallar üçün icazə tələb oluna bilər.
$since = (Get-Date).AddHours(-24)
Get-WinEvent -FilterHashtable @{ LogName = 'System'; Level = 2; StartTime = $since } -MaxEvents 100 | Select-Object TimeCreated, Id, ProviderName, LevelDisplayName, Message
Security hadisələrini kontekstdə oxuyun
Security jurnalında 4624 uğurlu, 4625 isə uğursuz giriş cəhdini bildirir. Bu Event ID-lər təkbaşına pozuntu sübutu deyil: hesab, giriş tipi, mənbə ünvanı, host, vaxt və həmin hesab üçün gözlənilən davranışla müqayisə edin. Hadisənin yaranması audit siyasətindən asılıdır; məsələn, obyekt icazələrinin dəyişməsi 4670 üçün uyğun audit və obyekt SACL-i tələb edə bilər. 4688 proses yaradılmasını göstərir, lakin əmr sətri sahəsi ayrıca audit siyasəti ilə aktivləşdirilir. Event ID-nin mənasını Microsoft-un cari sənədi və öz Windows versiyanızla tutuşdurun.
4624 və 4625
Uğurlu və uğursuz girişlər; istifadəçi, logon type, mənbə host və nəticə ilə birgə təhlil edin.
Audit siyasəti
İstənilən hadisənin toplanması üçün lazım olan audit kateqoriyasının aktiv olub-olmadığını təsdiqləyin.
İxrac və paylaşma
Dəstək üçün ixracı məhdudlaşdırın; mesajlarda istifadəçi, host və daxili infrastruktur məlumatı ola bilər.
IIS W3C qeydlərini konfiqurasiya edin
IIS 7 və sonrakı versiyalarda W3C formatı standart seçimdir; qeydə düşən sahələr server və ya sayt səviyyəsində seçilir. #Fields sətri həmin faylda sahələrin sırasını göstərir. Tarix/vaxt, client IP, method, URI stem, HTTP status, substatus və time-taken tez-tez diaqnostika üçün faydalıdır. UriQuery, referer, user-agent və əlavə sahələr həssas dəyər daşıya biləcəyindən onları yalnız məqsəd olduqda aktivləşdirin. IIS Manager-də saytın Logging hissəsindən format, qovluq və sahələri yoxlamaq olar; standart fayl qovluğu adətən %SystemDrive%\inetpub\logs\LogFiles olur.
HTTP status
404 çatışmayan resursa, 5xx server tərəfli problemə işarə edə bilər; substatus və tətbiq logu ilə səbəbi dəqiqləşdirin.
Vaxt və həcm
time-taken və ötürülən bayt kimi sahələr yavaş sorğunu resurs yükü ilə tutuşdurmağa kömək edə bilər.
Sahə seçimi
Sahələri ehtiyaca uyğun seçin və sorğu sətri və referer daxilində məxfi məlumat ehtimalını yoxlayın.
Veb-server jurnallarını müqayisə edin
Apache, NGINX və IIS-in access log formatı və sahə adları tamamilə eyni deyil; parser seçərkən real nümunə və header-i yoxlayın. Sorğu metodu, URI, status, cavab ölçüsü, user-agent və vaxt trafik nümunəsini və server xətalarını anlamağa kömək edir. Axtarış botlarını təhlil edərkən yalnız user-agent mətninə etibar etməyin; bu sahə klient tərəfindən təqdim olunur və təqlid edilə bilər. Loglar serverin gördüyü sorğuları göstərir, istifadəçinin sayt boyunca tam sessiyasını və niyyətini deyil.
| Mənbə | Nəyi göstərir | Yoxlama |
|---|---|---|
| Access log | Sorğu, cavab statusu, ötürmə və vaxt. | Format başlığını və sahə sırasını yoxlayın. |
| Error/app log | Server və ya kodun yaratdığı xəta, komponent və kontekst. | Eyni sorğu ID-si və vaxtla access qeydi ilə tutuşdurun. |
Jurnalların rotasiyasını və saxlanmasını idarə edin
IIS yeni faylı vaxt aralığına və ya seçilmiş ölçü həddinə görə aça bilər; bu, saxlanma müddətini özü təyin etmir. Windows Event Log-da maksimum ölçü və dolduqda davranış ayrıca konfiqurasiya edilir. Linux logrotate vaxta və ölçüyə görə faylı rotasiya edə, arxivləyə və sıxa bilər; tətbiqin adı dəyişdirilmiş fayla yazmağa davam edib-etmədiyini yoxlayın. Hər mühit üçün arxiv nüsxəsini, giriş hüquqlarını, təmizləmə müddətini və disk istifadəsi xəbərdarlığını müəyyənləşdirin. Saxlanma qaydasının hüquqi və ya sənaye tələblərinə uyğunluğu barədə qərarı təşkilatın məsul şəxsi verməlidir.