日志分析通过检查系统日志来检测异常和安全事件。每次登录、每次进程启动、每次网络连接都会生成日志条目。攻击的线索就隐藏在这些看似无意义的日志中。例如，来自异常位置的登录、凌晨 3 点运行 PowerShell 脚本的服务帐户、出站流量的突然激增等等。日志分析能够发现这些模式。

挑战在于日志量。一家中型企业每天会产生数百万条日志条目，人工审核几乎不可能。安全信息和事件管理平台（SIEM）会收集、规范化并关联来自多个来源的日志，并应用规则和机器学习来识别重要事件。但即使是 SIEM 也会产生误报，分析师仍然需要进行初步筛选。良好的日志分析始于良好的日志记录。如果系统没有记录事件，任何工具都无法进行分析。许多安全漏洞之所以未被发现，是因为日志记录被禁用或不完整。审计策略需要精心配置，身份验证事件、进程创建和网络连接是基本要求。日志保留也至关重要。攻击者可能会潜伏数月之久，30 天后过期的日志会造成信息缺失，调查需要历史记录。

日志源优先级

• 身份验证——登录、失败、权限变更
• 端点——流程创建、文件更改、服务安装
• 网络——防火墙、DNS、代理和 VPN 日志
• 云——API 调用、存储访问、身份事件
• 应用程序——错误、管理员操作、数据导出

日志是证据。如果不收集日志，就无法重现事件经过。