在使用日志的过程中，人们常常会面临五大误区。克服这些误区，不仅可以大大提升安全设施的价值，而且能够及时化解潜在风险。
为了应对不断涌现的安全威胁，许多企业都部署了多种安全设备。这些设备生成大量的日志信息。为了利用这些信息，许多企业还部署了日志收集和分析程序。即使如此，许多用户仍然认为安全设备的作用没有达到期望值。之所以发生这种情况，常常是由于人们在日志分析中的五个误区所造成的。
不查看日志
许多用户都会犯一个低级错误—不查看日志。虽然收集和存储日志很重要，但只有经常查看日志，了解网络环境中发生了哪些情况，才能及时做出响应。一旦部署了安全设备并且收集了日志，用户需要对其进行持续监控，以及时发现可能发生的安全事件。
一些用户只在重大事件之后才审查日志，尽管这些用户能够获得事后分析的好处，但没能获得事前预防的好处。主动查看日志有助于用户更好地实现安全设施的价值，了解攻击行为将在何时发生并及时采取措施。
许多用户总爱抱怨入侵检测系统( IDS )不能起作用。造成这一问题的重要原因就是，IDS经常产生误报，使人们无法根据其警告信息采取行动。如果人们将IDS日志与其他日志（如防火墙日志）进行全面关联分析，就能充分发挥IDS的作用。
没区分日志的优先次序
日志已经收集完毕，存储时间也足够长，并且日志格式也统一了，接下来网管员应该从何处着手呢？建议用户设法获得高水平的摘要以查看最近的安全事件。这需要克服另外一个错误，即不区分日志记录的优先次序。一些网管员理不清优先次序就研究大量的日志数据，结果就会半途而废。
有效优先化的第一步就是对策略进行定义。回答下列问题会有助于定义策略：“最担心什么？”“攻击得逞了吗？”“以前发生过这种攻击吗？” 可帮助用户开始制定优先化策略，减轻用户每天收集日志数据的负担。
日志格式不统一
日志格式不统一十分普遍：有的基于简单网络管理协议，有的则基于Unix系统。缺乏统一的日志格式，导致企业需要不同的专家来从事日志分析，这是因为并非所有通晓Unix日志格式的管理人员都能看懂Windows事件日志记录，反之亦然。多数网管员通常只对少数系统熟悉，将设备生成的日志信息转换为统一的格式有利于网管员进行关联分析和进行决策。
日志存储时间太短
许多用户认为自己拥有进行监控和调查所需要的所有日志，但是在遭遇安全事件之后才发现，相应的日志信息已经被删除了。安全事件通常是在攻击或滥用行为发生后很长时间才被发现。 如果费用紧缺，建议用户将保留的日志分为两个部分：短期的在线存储和长期的离线存储。将旧日志信息存储在磁带中，既能节约离线存储的成本，还能长久保存以备未来分析。
只查找已知的不良信息
即使最先进和最注意安全的用户有时也会陷入网络陷阱。这种网络陷阱十分阴险，会严重降低日志分析的价值。如果用户只查看已知的不良信息时，这种事情就会发生。
交换机在查找日志文件中已定义的不良信息时，显得十分有效。然而要充分实现日志数据的价值，就需要进行日志的深度挖掘。在没有预先想定所需要的不良信息前提下，用户可以在日志文件中发现一些有用信息，包括遭受攻击和感染的系统、新的攻击、内部滥用和知识产权偷窃等。怎样才能提高发现潜在攻击行为的机率呢？这需要借助数据挖掘方法，数据挖掘可以使用户快速查找日志数据中的异常信息。
笨，拉灯 回复于：2005-05-13 11:56:28
现状是：大多数网管员只考虑了数据安全而乎视网络安全
lenoning 回复于：2005-05-17 10:59:57
挖掘也不是那么好挖掘的啊
波布兰 回复于：2005-05-17 13:10:59
确实，我也经常发生事故后才查看日志，是个不好的习惯。要改要改。。
angelagod 回复于：2005-05-17 17:20:50
我……连日志都不太会看……
请问交换机的日志一般都是保存在交换机上的吗？
平时不太留意这一方面的事情，以后要注意了，有没什么好的入门介绍？
archangle 回复于：2005-05-17 17:32:51
我现在是专门做一个日志服务器，把所有值得收集的信息全部存到日志服务器的数据库里面。可以通过web访问。这样一来，擦日志也擦不了，除非把我的日志服务器给停了。
云海天涯 回复于：2005-05-18 14:56:33
当出现问题的时候第一时间考虑的就是查看日志。但这样是不好哦！
剑心通明 回复于：2005-05-19 15:34:41
俺都是出了问题以后才回去看日志的
yylking 回复于：2005-05-19 22:50:51
我想做个php-syslog-ng的日志管理系统，希望各位大侠给点意见和想法
云海天涯 回复于：2005-05-20 12:00:18
支持楼上的，希望早日能做出来，我来给你测试！
lcq924 回复于：2005-05-23 14:16:03
要是做一个日志分析系统，实时的采集日志，然后对日志进行分析，做出报告。这样的东西不晓得可卖的掉
tongchen 回复于：2005-09-20 17:39:16
啊吖~```
怎么看系统日志啊~``````
各位大虾，小虾才此求救哦~``` :roll: :roll: :roll: :roll: :roll:
mmhh516 回复于：2005-09-20 23:06:41
日志还是要看点，要不然哭的时候就惨拉！
unigium 回复于：2005-09-21 10:37:39
不错的帖子，吸取中....
Konqueror 回复于：2005-09-21 15:03:56
以前写过一个集中日志管理的贴子，可以把Windows，Linux, 路由器，交换机的日志发到一台Linux机器上进行集中管理和分析。不过发现没人看，写到一半发现被管理员删了。:-(
手上还有当时写的一些PPT，可以给大家分享一下。不难，相信看了这个PPT就会知道要用到哪些软件了。
Konqueror 回复于：2005-09-21 15:20:17
再贴两张截图
|
