Security Log Analysis 是一个用于指导结构化安全日志分析的技能，覆盖身份认证、网络、终端与云审计等日志来源。资料显示，其参考框架为 MITRE ATT&CK v16 与 NIST SP 800-92（Guide to Computer Security Log Management），面向角色为 SOC Analyst 与 Security Engineer，单次分析时间约 20-40 分钟，产出包括日志分析发现、异常识别、基线建议以及映射到 ATT&CK 的观察结果。若通过参数提供目标，审查将聚焦于 $ARGUMENTS。
适用场合 资料列出以下适用条件：日志审查（针对特定系统、时间窗口或用户检查日志以识别可疑活动）；异常调查（观察到异常模式，如非预期登录、陌生进程、异常网络流量时进行基于日志的调查）；基线建立（定义某日志来源的“正常”状态以便后续异常检测）；事件 ID 解读（理解特定 Windows 事件 ID、Sysmon 事件 ID 或 Linux 日志条目的安全含义）；日志关联（组合多个日志来源重建事件序列或追踪攻击者行为）；事后日志复盘（在告警或事件后系统检查日志以确定范围、时间线与影响）；日志架构评估（评估是否为安全监控采集了正确的日志来源）。资料明确不适用的情况：编写 SIEM 检测规则（应使用 siem-rules）、对已触发告警进行分诊（应使用 alert-triage）、编写 Sigma 规则（应使用 detection-engineering）。
开始分析前需确认的上下文 资料要求先收集或确认：分析目标（要回答的问题，如账户是否被入侵、某服务器某时段发生了什么、某出站流量是否恶意）；时间窗口；范围（主机、用户、IP 地址或网段）；可用的日志来源（Windows 事件日志、Sysmon、EDR、防火墙、代理、DNS、云审计、应用日志等）；已知正常基线（授权的管理员账户、预期服务账户、正常工作时间、已批准应用）；相关告警或事件；以及 SIEM 访问权限（决定查询语言与表名）。
日志来源分类 资料按类别列出日志来源、平台、关键事件与 ATT&CK 数据源映射。身份认证日志包括：Windows 安全事件日志（登录 4624、失败登录 4625、显式凭据使用 4648、特殊权限登录 4672，对应 Logon Session DS0028）；Azure AD 登录日志（交互式与非交互式登录、条件访问结果、MFA 状态）；Linux 认证日志（/var/log/auth.log 或 /var/log/secure，含 SSH 登录、su/sudo 使用、PAM 事件）；AWS CloudTrail（ConsoleLogin、AssumeRole、GetSessionToken、SwitchRole）。网络流量与连接日志包括：防火墙日志、NetFlow/IPFIX、Sysmon 事件 ID 3、VPC Flow Logs，均对应 Network Traffic（DS0029）。DNS 日志包括 DNS 服务器查询日志、Sysmon 事件 ID 22、DNS 防火墙/RPZ 日志、被动 DNS，对应 Network Traffic: DNS（DS0029）。代理与 Web 日志包括：Web 代理日志、云代理（Zscaler、Netskope）、Web 服务器访问日志（对应 Application Log DS0015）。终端日志包括：Sysmon（进程创建 1、网络连接 3、文件创建 11、注册表 12/13/14、DNS 查询 22）、Windows 安全 4688（需审核策略）、EDR 遥测、Linux auditd。云审计日志包括：AWS CloudTrail、Azure Activity Log、GCP Cloud Audit Logs、Microsoft 365 Unified Audit Log。
关键 Windows 事件 ID 资料强调分析师应熟记以下事件。认证事件：4624 成功登录（追踪谁以何种登录类型登录，映射 T1078）、4625 失败登录（暴力破解、密码喷洒或凭据猜测，映射 T1110）、4648 使用显式凭据登录（runas，用于横向移动与权限提升，映射 T1078）、4672 为新登录分配特殊权限（每次代表一个提权会话，映射 T1078）。资料还列出 4624 的 LogonType 字段含义：2 交互式（物理控制台或 KVM）、3 网络（访问共享资源）、4 批处理（计划任务）、5 服务、7 解锁、8 NetworkCleartext（明文凭据，存在安全顾虑）、9 NewCredentials（runas /netonly，横向移动技术）、10 RemoteInteractive（RDP）、11 CachedInteractive（缓存域凭据）。进程与服务事件：4688 新进程创建（映射 T1059）、4698 计划任务创建（映射 T1053.005）、7045 服务安装（System 日志，映射 T1543.003）。账户管理事件：4720 创建用户账户（映射 T1136.001）、4728/4732/4756 向安全组添加成员（映射 T1098）。防御规避事件：1102 审计日志被清除（映射 T1070.001）、4657 注册表值修改（映射 T1112）。
关键 Sysmon 事件 ID 资料列出：1 进程创建（含完整命令行、父进程、哈希）；3 网络连接（带进程上下文的出站连接，用于 C2 检测）；7 镜像加载（检测 DLL 侧加载、注入）；8 CreateRemoteThread（代码注入检测）；10 ProcessAccess（凭据转储，如访问 LSASS）；11 FileCreate（恶意软件落地、暂存）；12/13/14 注册表事件（持久化检测）；15 FileCreateStreamHash（备用数据流，隐藏数据）；22 DNSEvent（带进程上下文的 DNS 查询，C2 域名解析）；23 FileDelete（反取证检测）；25 ProcessTampering（进程映像更改，进程镂空/隐藏）。
Linux 认证日志模式 资料给出 /var/log/auth.log 与 /var/log/secure 的示例，包括成功 SSH 登录、失败 SSH 登录、成功与失败的 sudo 使用、账户创建（useradd）。关键模式：同一源 IP 多次 Failed password 表示暴力破解（T1110）；针对无效用户的失败密码表示用户名枚举或喷洒（T1110.003）；来自异常 IP 或异常时间的 Accepted password 表示凭据可能已泄露（T1078）；sudo 访问敏感文件（/etc/shadow、/etc/passwd）表示凭据访问或侦察（T1003.008）；变更管理之外的用户创建表示通过新账户持久化（T1136.001）；非管理员用户 su 到 root 表示权限提升尝试（T1548）；“session opened for user root by (uid=XXX)”中 XXX 非零表示提权成功（T1548）；sshd 的“Did not receive identification string”表示端口扫描或侦察（T1046）。
异常检测模式 资料将异常分为：时间型（在既定时间之外活动）、容量型（偏离均值超过 2 个标准差）、地理型（新国家登录或不可能旅行）、行为型（首次进程执行、新出站目标）、关系型（访问超出正常范围的资源）、协议型（网段上出现非预期协议，如工作站使用 DoH 或面向互联网接口使用 SMB）。
基线建立 资料引用 NIST SP 800-92 第 4.2 节，建议为日志数据建立基线以支持异常检测，基线应基于至少 30 天的干净（未被入侵）数据。构建过程：选择日志来源与具体指标；采集 30-90 天已知干净期历史数据；计算均值、中位数、标准差、95 与 99 百分位；识别重复模式（每日、每周、每月周期）；设置阈值（中度告警为均值加 2 个标准差，高优先级告警为均值加 3 个标准差）；记录排除项（补丁星期二、季度审计、渗透测试）；每季度或在环境重大变化后复核更新。需建立的基线指标包括：按源 IP 的失败登录数（每小时，暴力破解检测）、每用户访问的不同主机数（每天，横向移动检测）、按主机的进程创建数（每天，恶意软件/工具执行检测）、按主机的出站字节数（每小时，数据外泄检测）、按主机的 DNS 查询数（每小时，C2 信标检测）、新建用户账户数（每天，持久化检测）、特权登录数 4672（每天，权限滥用检测）。
日志关联技术 资料给出的关联策略包括时间连接与实体枢轴。时间连接示例为：来自同一来源的失败登录（4625）之后 15 分钟内出现成功登录（4624）。实体枢轴示例为：从可疑 IP 出发，跨所有日志来源追踪其活动。资料在此处内容被截断，后续关联策略与示例暂未提供。
限制 资料仅以中文介绍形式呈现上述内容，未提供实际的安装命令、代码或收费信息，相关内容暂未提供。