安骑士主机日志实时分析功能

您是否已经在使用了安骑士保护着成千上万的主机，并且有进一步的需求：

法规需要，要留存IT设备的日志一段时间。
主机上的登录、网络、进程日志等，可以清楚知道所有这些主机上发生的行为，需要基于此进行实时分析查询与报表建立，便于对系统整体有一个认知。
导出这些日志到其他系统，便于进一步管理。

如果是的，您可以开通安骑士主机日志导入到日志服务，进行实时分析查询，建立自己的规则报警，并使用开箱即用的多领域报表。

基本介绍

日志服务支持采集安骑士日志，并对采集到的安骑士相关日志进行实时查询与分析统计、通过多种可视化方式进行分析结果的直观展示。日志服务对安骑士相关日志的专业日志采集分析手段，可以简化您的操作审计和事件回溯，让您的工作更有效率。

前提条件

已开通日志服务。
已开通安骑士服务企业版本或更高版本

配置步骤

步骤1 准备Project和Logstore

在日志服务控制台中，在一个国内区域下创建一个项目和对应的Logstore，用于存放相关的安骑士日志。如：aegis_log

步骤2 日志采集授权

在日志服务控制台中，选择Logstore的【数据接入向导】，选择【安骑士日志】，点击下一步，在【数据源配置】页面中，单击快捷授权为日志服务授权，授权后日志服务有权限将安骑士日志分发到您的logstore中。

步骤3 配置查询分析

继续上面的步骤，选择下一步后，进入【查询分析 & 可视化】页面中，日志服务已预设了安骑士日志所需的查询索引，字段说明请查看安骑士日志格式。确认后单击下一步。

注意：系统默认为您创建3个特定的仪表盘，配置完成后您可以在仪表盘页面查看。

步骤4 关联安骑士日志

在安骑士控制台中，从导航菜单中选择【日志检索】> 【日志投递】，打开特定日志的投递开关，并选择步骤1中准备好的Project和Logstore。

也可以在态势感知控制台中，从导航菜单选择【更多功能】 > 【日志检索】 > 【日志投递】打开特定日志（前面7个）的投递开关，操作同上。

默认仪表盘

我们提供了3个开箱即用的报表中心：

网络中心
- 各种网络相关的提取汇总信息
- 有助于帮助快速识别、追踪和分析已知或未知网络攻击，网络病毒等
认证中心
- 各种登录事件的提取汇总信息
- 有助于帮助快速识别、追踪和分析已知或未知账户攻击，信息泄漏等
进程中心
- 各种进程启动的提取汇总信息
- 有助于帮助快速识别、追踪和分析已知或未知终端攻击，病毒木马和APT攻击等

更多参考视频：

安骑士日志格式

安骑士主机保护提供以下几种日志，搜索不同数据时，使用__topic__进行区分即可。

日志来源	描述	备注
进程启动日志	主机上进程启动信息	由安骑士agent采集，实时数据，进程一启动日志就上报
网络连接日志	主机上连接的五元组信息	由安骑士agent采集，windows为实时数据，linux为10秒采集，增量上报
系统登录日志	SSH、RDP登录成功日志	由安骑士agent采集，准实时数据
暴力破解日志	登录失败的日志	由安骑士agent采集，准实时的登录失败日志
进程快照	主机上进程快照信息	若在安骑士-资产指纹中开启了自动收集则会有数据，快照形式，每台机器一天非固定时间收集一次当时运行进程信息
账户快照	主机上账户快照信息	若在安骑士-资产指纹中开启了自动收集则会有数据，快照形式，每台机器一天非固定时间收集一次当时的账号信息
端口侦听快照	主机上端口侦听快照信息	若在安骑士-资产指纹中开启了自动收集则会有数据，快照形式，每台机器一天非固定时间收集一次当时的端口侦听信息

进程启动日志

字段名	名称	例子	备注
__time__	连接时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-log-process
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
cmdline	用户启动完整命令行	cmd.exe /C "netstat -ano“
username	用户名	administrator
uid	用户ID	123
pid	进程ID	7100
filename	进程文件名	cmd.exe
filepath	进程文件完整路径	C:/Windows/SysWOW64/cmd.exe
groupname	用户组	group1
ppid	父进程ID	2296
pfilename	父进程文件名	client.exe
pfilepath	父进程文件完整路径	D:/client/client.exe	-

进程快照

字段名	名称	例子	备注
__time__	数据获取时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-snapshot-process
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
cmdline	用户启动完整命令行	cmd.exe /C "netstat -ano"
pid	进程ID	7100
name	进程文件名	cmd.exe
path	进程文件完整路径	C:/Windows/SysWOW64/cmd.exe
md5	进程文件名MD5	d0424c22dfa03f6e4d5289f7f5934dd4	超过1MB的进程文件不进行计算
pname	父进程文件名	client.exe
start_time	进程启动时间	2018-01-18 20:00:12	内置字段
user	用户名	administrator
uid	用户ID	123	-

登录日志

注意：1分钟内的重复登录时间会被合并为1条日志，在字段warn_count中体现次数

字段名	名称	例子	备注
__time__	连接时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-log-login
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
warn_ip	登录来源IP	1.2.3.4
warn_port	登录端口	22
warn_type	登录类型	SSHLOGIN	可能值有：SSHLOGIN（SSH登录）、RDPLOGIN（远程桌面登录）、IPCLOGIN等
warn_user	登录用户名	admin
warn_count	登录次数	3	表示这次登录前1分钟内还发送了2次

暴力破解日志

字段名	名称	例子	备注
__time__	连接时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-log-crack
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
warn_ip	登录来源IP	1.2.3.4
warn_port	登录端口	22
warn_type	登录类型	SSHLOGIN	可能值有：SSHLOGIN（SSH登录）、RDPLOGIN（远程桌面登录）、IPCLOGIN等
warn_user	登录用户名	admin
warn_count	失败登录次数	3	-

网络连接

注意安骑士每隔10秒到1分钟会收集一下变化的网络连接，而一个网络连接的状态从建立到结束的过程中会部分状态会被收集到。

字段名	名称	例子	备注
__time__	连接时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-log-network
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
src_ip	源IP	1.2.3.4
src_port	源端口	41897
dst_ip	目标IP	1.2.3.4
dst_port	目标端口	22
proc_name	进程名	java
proc_path	进程路径	/hsdata/jdk1.7.0_79/bin/java
proto	协议	tcp	其他可能的协议有udp和raw（表示raw socket）
status	连接状态	5	完整连接状态列表和描述，请参考网络连接状态描述

端口监听快照

字段名	名称	例子	备注
__time__	数据获取时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-snapshot-port
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
proto	协议	tcp	其他可能的协议有udp和raw（表示raw socket）
src_ip	监听IP	1.2.3.4
src_port	监听端口	41897
pid	进程ID	7100
proc_name	进程名	java	-

账户快照

字段名	名称	例子	备注
__time__	连接时间	2018-02-27 11:58:15	元数据字段
__topic__	主题		固定为aegis-snapshot-account
uuid	客户端号	5d83b26b-b7ca-4a0a-9267-123456
ip	客户端机器IP	1.2.3.4
user	用户	nscd
perm	是否拥有root权限	0	0-没有，1-有
home_dir	home目录	/Users/abc
groups	用户属于的组	["users", "root"]	不属于任何组时为`N/A`
last_chg	密码最后修改日期	2017-08-24
shell	linux的shell命令	/sbin/nologin
domain	windows域	administrator	不属于任何域为`N/A`
tty	登录的终端	pts/3	不适用时为`N/A`
warn_time	密码到期提醒日期	2017-08-24	永不提醒时为`never`
account_expire	账号超期日期	2017-08-24	永不过期时为`never`
passwd_expire	密码超期日期	2017-08-24	永不过期时为`never`
login_ip	最后一次登录的远程ip地址	1.2.3.4	不适用时为`N/A`
last_logon	最后一次登录的日期和时间	2017-08-21 09:21:21	不适用时为`N/A`
status	用户状态	0	0-禁用、1-正常

网络连接状态描述

状态值	描述
1	closed
2	listen
3	syn send
4	syn recv
5	establisted
6	close wait
7	closing
8	fin_wait1
9	fin_wait2
10	time_wait
11	delete_tcb

扫码加入官方钉钉群 (11775223):