日誌分析透過檢查系統日誌來偵測異常和安全事件。每次登入、每次進程啟動、每次網路連線都會產生日誌條目。攻擊的線索就隱藏在這些看似無意義的日誌中。例如，來自異常位置的登入、凌晨 3 點執行 PowerShell 腳本的服務帳戶、出站流量的突然激增等等。日誌分析能夠發現這些模式。

挑戰在於日誌量。中型企業每天會產生數百萬個日誌條目，人工審核幾乎不可能。安全資訊和事件管理平台（SIEM）會收集、標準化並關聯來自多個來源的日誌，並應用規則和機器學習來識別重要事件。但即使是 SIEM 也會產生誤報，分析師仍需要進行初步篩選。良好的日誌分析始於良好的日誌記錄。如果系統沒有記錄事件，任何工具都無法進行分析。許多安全漏洞之所以未被發現，是因為日誌記錄已停用或不完整。審計策略需要精心配置，身份驗證事件、進程建立和網路連接是基本要求。日誌保留也至關重要。攻擊者可能會潛伏數月之久，30 天後過期的日誌會造成資訊缺失，調查需要歷史記錄。

日誌源優先權

• 身份驗證——登入、失敗、權限變更
• 端點－流程建立、檔案變更、服務安裝
• 網路—防火牆、DNS、代理程式和 VPN 日誌
• 雲端——API 呼叫、儲存存取、身分事件
• 應用程式——錯誤、管理員操作、資料導出

日誌是證據。如果不收集日誌，就無法重現事件經過。