tam0071/Apache-Web-Server-Log-Analysis
GitHub: tam0071/Apache-Web-Server-Log-Analysis
一份面向安全运营初学者的Apache日志分析实践指南，通过Linux命令行工具实现Web安全事件的检测与研判。
Stars: 0 | Forks: 0
# Apache Web 服务器日志分析
## 简介
在本项目中，我们将通过处理 Apache Web 服务器日志来进行日志分析。Apache 日志是有关 Web 流量的丰富信息源，可以帮助识别潜在的安全事件、使用模式以及性能问题。在本项目结束时，学生将能够从 Apache 访问日志和错误日志中提取并解读有价值的信息。
## 前置条件
- 已安装 Apache Web 服务器
## 我使用的实验环境和工具
- 已安装 Apache 的 Linux 发行版
- Apache Web 服务器已安装并正在运行
- 可以访问 Apache 日志文件（位于 `/var/log/apache2/`）
## 练习 1：访问 Apache 日志文件
### 步骤：
1. 在你的 Linux 机器上，打开终端。
2. 导航到 Apache 日志目录：
```
cd /var/log/apache2/
```
3. 列出日志文件：
```
ls -l
```
### 预期输出：
- Apache 日志文件列表，例如 `access.log` 和 `error.log`。
## 练习 2：了解访问日志
### 步骤：
1. 打开访问日志文件：
```
less access.log
```
2. 观察日志结构：
- IP 地址
- 时间戳
- 请求方法
- URL
- HTTP 状态码
- User agent
3. 识别并分析条目。
### 预期输出：
- 了解 Apache 访问日志格式。
## 练习 3：过滤日志条目
### 步骤：
1. 按 IP 地址过滤：
```
grep '192.168.1.100' access.log
```
2. 按 HTTP 404 错误过滤：
```
grep ' 404 ' access.log
```
3. 组合过滤器：
```
grep '192.168.1.100' access.log | grep ' 404 '
```
### 预期输出：
- 基于条件的过滤后日志结果。
## 练习 4：分析错误日志
### 步骤：
1. 打开错误日志：
```
less error.log
```
2. 查找：
- 缺失的文件
- 权限错误
- 脚本故障
3. 记录时间戳和频率。
### 预期输出：
- 了解服务器错误模式。
## 练习 5：汇总日志数据
### 步骤：
1. 每个 IP 的请求数：
```
awk '{print $1}' access.log | sort | uniq -c | sort -nr
```
2. 每天的请求数：
```
awk '{print $4}' access.log | cut -d: -f1 | sort | uniq -c
```
3. 请求最多的 URL：
```
awk '{print $7}' access.log | sort | uniq -c | sort -nr
```
### 预期输出：
- 按 IP、日期和 URL 汇总的流量情况。
### SOC 安全分析与事件检测
在日志分析过程中，发现了多种可疑模式，这些模式可能表明存在潜在的安全威胁。
### 1. 可能的暴力破解攻击检测
通过访问日志，观察到了来自同一 IP 地址的多次重复失败登录尝试。
```
grep " 401 " access.log
grep " 403 " access.log
```
#### 发现：
- 多次未经授权的访问尝试（HTTP 401/403 错误）
- 同一 IP 在短时间内重复发送登录请求
#### 分析：
此行为与**暴力破解登录攻击**一致，攻击者会尝试多种用户名/密码组合。
#### 建议：
- 使用防火墙 (iptables / ufw) 封禁可疑 IP
- 启用速率限制
- 实施账户锁定策略
### 2. 可能的目录扫描 / 侦察
检测到来自特定 IP 的大量 404 错误。
```
grep " 404 " access.log
```
#### 发现：
- 对不存在页面的重复请求
- 系统性的 URL 猜测模式
#### 分析：
这表明可能发生了**目录暴力破解 / 侦察攻击**，攻击者正在扫描隐藏文件或管理页面。
#### 建议：
- 使用 Web 应用程序防火墙 (WAF)
- 隐藏敏感的 endpoint
- 监控重复出现的 404 激增情况
### 3. 可疑的高流量 IP
对请求量最高的 IP 地址进行了分析：
```
awk '{print $1}' access.log | sort | uniq -c | sort -nr
```
#### 发现：
- 某个 IP 产生了异常大量的请求
#### 分析：
这可能表明：
- Bot 活动
- 潜在的 DDoS 尝试
- 自动化扫描工具
#### 建议：
- 针对单个 IP 进行速率限制
- 临时封禁 IP
- 监控流量基线
### SOC 总结
从日志分析中得出：
- 检测到类似暴力破解的行为（401/403 激增）
- 检测到侦察活动（404 扫描）
- 识别出高频流量来源
标签：Apache, awk, Cutter, grep, HTTP状态码, Shell脚本, TCP/UDP/TLS指纹, Web服务器, 代码示例, 子域名变形, 安全事件响应, 性能优化, 数据分析, 数据泄露, 无线安全, 日志过滤, 检测绕过, 红队行动, 网站运维, 网络安全, 网络安全审计, 访问日志, 错误日志, 隐私保护