『应急响应实践』LogParser日志分析实践

文章目录

任务
前置知识
任务一：筛选登陆失败日志
任务二：筛选日志中的进程创建
完

任务

筛选登录失败日志，要求：日期2021-10-19、时间14:40-15:00
筛选日志中的进程创建，要求：排除进程C:\Windows\System32\winlogon.exe

日志源码:

log.evtx

前置知识

windows日志格式

在这里插入图片描述

常用应急事件ID

在这里插入图片描述

Strings文本列格式

在这里插入图片描述

例如SELECT EXTRACT_TOKEN(Strings,18,'|’)可以截出源IP

任务一：筛选登陆失败日志

LogParser.exe -i:evt -o:datagrid "select * from 'log.evtx' where TimeGenerated>='2021-10-19 14:40:00' and TimeGenerated<='2021-10-19 15:00:00' and EventID=4625"
1

在这里插入图片描述

任务二：筛选日志中的进程创建

LogParser.exe -i:evt -o:datagrid "select * from 'log.evtx' where EventID=4688 and extract_token(Strings,5,'|')<>'C:\Windows\System32\winlogon.exe'"
1

排除前：

在这里插入图片描述

排除后：

在这里插入图片描述

完

欢迎关注我的CSDN博客：@Ho1aAs
版权属于：Ho1aAs
本文链接：https://ho1aas.blog.csdn.net/article/details/125430259
版权声明：本文为原创，转载时须注明出处及本声明

相关阅读:
Java 实现统计文件字符
Android SmartTable根据int状态格式化文字及颜色
SparkCore
微服务模式：服务发现模式
苹果手机ip地址怎么关闭
asp.net古代服饰系统VS开发sqlserver数据库web结构c#编程包含购物答题功能点
关于Redis集群的数据分区和故障转移，这应该是全网最清晰的一篇
JAVA面试题之恒生电子
Linux简单命令之服务控制和安全开关
文件包含漏洞学习小结

原文地址：https://blog.csdn.net/Xxy605/article/details/125430259