日誌分析：最直接、常用、有效的防禦手段

防火牆、IDS 部署完備仍存木桶效應。Web 服務器日誌記錄每一次交互，龐大但藏著攻擊蹤跡。掌握分析方法，可發現 IDS 遺漏的線索。

默認日誌格式速查

服務器	路徑	關鍵字段
IIS	c:\winnt\system32\logfiles\w3svc1\日期.log	W3C 擴展格式：時間、客戶端 IP、方法、資源、HTTP 狀態碼（2xx 成功、3xx 重定向、4xx 客戶端錯誤、5xx 服務端錯誤）
Apache	/usr/local/apache/logs/access_log	Common/Combined 格式：客戶端 IP、身份、用戶名、請求行、狀態碼、傳輸位元組數

攻擊鏈階段與日誌特徵

1. 信息收集：Banner Grabbing

C:>nc -n 10.22.1.100 80
HEAD / HTTP/1.0

IIS 日誌：15:08:44 10.22.1.80 HEAD /Default.asp 200
Apache 日誌：10.22.1.80 - - [08/Oct/2002:15:56:39] "HEAD / HTTP/1.0" 200 0
特徵：HEAD 請求、200 狀態、極小流量。看似正常，實為偵察前奏。

2. 站點鏡像：Teleport Pro / Wget

短時間同一 IP 大量連續請求靜態資源（圖片、CSS、JS），且必請求 robots.txt（404 亦記錄）。
識別關鍵：同源 IP 高頻、全站遍歷模式、robots.txt 請求。繞過 robots.txt 時，以「同 IP 重複資源請求」為特徵檢測。

3. 漏洞掃描：Whisker 等工具

針對 CGI/腳本目錄（IIS:/scripts/、Apache:/cgi-bin/）發送大量已知漏洞載荷。
日誌特徵：同一 IP 對腳本目錄大量請求，產生**大量 404/403/500 狀態碼**。
對策：檢查對應目錄腳本安全性，部署 WAF 規則封禁掃描器特徵（User-Agent、請求頻率、錯誤碼分佈）。

4. 遠程攻擊利用

IIS MDAC (msadcs.dll)：GET /msadc/msadcs.dll 200 → POST /msadc/msadcs.dll 200，POST 攜帶惡意載荷執行任意命令。
ASP 源碼洩漏：GET /default.asp .htr 200（利用 .htr 解析器漏洞）。
Apache 未授權訪問：GET /private/ 401（401 認證失敗嘗試）。

實戰分析建議

1. 建立基線：正常流量分佈（IP、URL、UA、狀態碼、流量大小、時間分佈）。
2. 異常檢測：單 IP 請求頻率、錯誤碼比例、敏感路徑訪問、非常用 HTTP 方法、掃描器指紋。
3. 關聯分析：日誌 + 防火牆/IDS 告警 + 應用日誌 + 資產脆弱性，還原攻擊鏈。
4. 自動化：ELK/Splunk 實時採集解析，Sigma 規則匹配已知攻擊模式，SOAR 自動封禁/告警。
5. 日誌完整性：集中存儲、防篡改、保留 ≥ 6 個月（合規要求）。

IDS 不能替代安全管理。細讀日誌，IDS 遺漏的真相往往藏在這裡。