TG咨询高防御服务器日志分析的重点，不是单纯统计请求数量，而是判断流量经过了哪些防护层、攻击是否真正到达源站、哪些账号或接口受到影响，以及处置后风险是否消失。常见数据来源包括DDoS防护设备、流量清洗平台、WAF、负载均衡器、Linux系统日志、Windows事件日志和业务应用日志。
一、先确定分析范围和证据来源
开始前应先写清楚事件时间、涉及的公网IP、域名、端口、协议和异常现象。例如，网站在某一时段响应变慢，就要区分是TCP连接耗尽、HTTP请求暴增、应用接口变慢，还是后端数据库资源不足。不同问题对应的日志位置并不相同。
- 确认受影响的服务器、虚拟主机、监听端口和业务接口。
- 确定分析时间窗，通常以异常发生前后各保留一段时间，便于比较正常基线。
- 列出需要调取的日志：边界防火墙、DDoS防护、WAF、负载均衡、Nginx或Apache访问日志、系统认证日志及应用错误日志。
- 记录日志的采集时间、文件来源、保存周期和操作者，避免后续无法说明数据是否完整。
二、统一时间并集中保存原始日志
高防御服务器日志分析非常依赖时间顺序。边界设备使用UTC，而源站使用本地时间时，同一请求可能出现数小时偏差。应检查NTP同步状态，并在分析表中统一时区。Linux可查看systemd时间同步状态，Windows则应检查系统时间服务和事件查看器中的时间记录。
采集时不要直接覆盖原始文件。可将原始日志设置为只读，再复制到集中存储或日志平台。常见格式包括W3C、JSON、Syslog和CSV。对Nginx访问日志，应至少保留时间、客户端IP、请求方法、URI、状态码、响应字节数、User-Agent和请求耗时；WAF日志还要保留规则编号、动作和命中字段。
三、清洗字段并建立关联关系
原始日志往往存在重复、缺失和格式不一致的问题。先统一IP、端口、域名、状态码和时间字段，再处理代理链。若请求经过CDN或负载均衡，日志中的客户端地址可能出现在X-Forwarded-For等字段，不能未经验证就把任意请求头当作真实来源。
需要重点关联的字段
| 日志类型 | 重点字段 | 分析用途 |
|---|---|---|
| 流量清洗或防火墙 | 源IP、目的IP、协议、端口、动作、流量量 | 判断攻击是否被拦截及攻击类型 |
| WAF | 规则、URL、参数、响应动作 | 识别注入、扫描和恶意请求 |
| Web访问日志 | 状态码、耗时、URI、User-Agent | 定位受压接口和异常请求模式 |
| 系统与应用日志 | 登录、进程、错误、权限变化 | 判断是否存在主机或账号层面的入侵迹象 |
可以使用OpenSearch、Elasticsearch或其他日志检索系统进行字段化查询，但工具名称不是关键，关键是保留原始记录与检索结果之间的对应关系。
四、从基线对比中识别异常
不要只看某个IP是否访问次数最多。应将异常时段与同一服务器平时的请求量、状态码比例、平均响应时间、并发连接数和出站流量比较。高防御服务器日志分析通常要同时观察边界层和源站层：清洗设备显示流量很大，但源站连接数稳定，可能说明防护有效；若源站也出现大量慢请求或5xx响应，则需要继续检查应用和系统资源。
常见异常包括：短时间内大量不同IP访问同一不存在路径；同一User-Agent高频遍历登录、后台或上传接口；大量请求集中在少数国家或地址段；HTTP 401、403、404、429比例突然升高；正常业务很少使用的端口出现连接记录。单一现象不能直接证明攻击，应结合WAF动作、认证结果和服务器进程变化判断。
五、按步骤完成调查和处置
- 定位时间线：以分钟或更细粒度排列清洗、WAF、负载均衡、Web和系统日志，寻找第一个异常信号。
- 区分来源：比较源IP、自治系统、User-Agent、请求路径和连接行为，避免把共享出口或反向代理误判为单一攻击者。
- 确认影响：检查成功登录、权限变更、文件修改、异常进程、接口错误和数据访问记录。
- 执行临时控制：在确认规则有效后，再通过WAF限速、封禁明确恶意特征、关闭不必要端口或限制管理入口等方式降低风险，避免直接大范围封禁真实用户。
- 验证恢复：观察拦截数、源站响应时间、5xx比例和系统资源是否回落，并确认业务请求仍能正常完成。
- 形成报告：记录时间线、证据位置、影响范围、采取动作和后续改进项，保留可复核的查询条件。
六、复盘时重点检查什么
复盘不应只写“已拦截攻击”。还要核对日志是否覆盖所有防护层，关键字段是否被截断，保存周期是否足够，告警是否能区分扫描与真实入侵，以及管理员登录是否启用多因素认证。对于高防御服务器日志分析，还应定期验证清洗策略、WAF规则和白名单，防止旧规则长期放行异常流量或误伤正常业务。
常见问题
1. 只分析Web访问日志够不够？
不够。它只能说明请求到达Web层，无法证明边界流量是否被拦截，也不能替代系统认证和应用错误日志。
2. 看到大量403就能判断遭到攻击吗？
不能。403可能来自正常权限控制，也可能来自WAF拦截，应结合请求路径、规则命中内容和访问来源判断。
3. 日志应保存多久？
应根据业务风险、合规要求和存储能力确定。重要事件至少要保留完整调查所需的前后时间段，并保护原始日志不被篡改。
4. 分析时最容易忽略什么？
最常见的是时区不一致、代理IP识别错误、只看单个IP，以及忽略成功登录和权限变更记录。
总的来说，高防御服务器日志分析应形成“确定范围、统一时间、集中采集、字段关联、异常判断、处置验证、复盘改进”的闭环，才能从流量现象进一步确认真实影响。
