Windows防火墻日志分析案例
作者：佚名
本文主要向大家介紹了Windows防火墻日志分析的全過程，希望大家通過以下的步驟能更加認識Windows防火墻的安全
Windows防火墻日志一般分為三行，第一行反映了數據包的發送、接受時間、發送者IP地址、對方通訊端口、數據包類型、本機通訊端口等等情況；第二行為TCP數據包的標志位，共有六位標志位，分別是：URG、ACK、PSH、RST、SYN、FIN，在日志上顯示時只標出第一個字母。那么如何記錄防火墻日志呢？以下就是分析過程：
記錄被丟棄的連接就可以，不然1T的硬盤估計都裝不下這防火墻日志。
打開防火墻日志會看到這樣的：
- #Version: 1.5
- #Software: Microsoft Windows Firewall
- #Time Format: Local
- #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path
- 2011-05-14 14:45:44 DROP TCP 121.14.11.62 192.168.1.100 80 35106 40 A 3456172238 1370391300 27 – - – RECEIVE
- 2011-05-14 14:45:52 DROP TCP 219.133.60.173 192.168.1.100 443 65124 169 AP 2086682883 794527494 24480 – - – RECEIVE
前面的2011-05-14 14:45:44就不用說了，當然是日期
DROP 就是丟棄數據包
TCP 以TCP方式連接
121.14.11.62 192.168.1.100 80
這個121.14.11.62是連接者IP 192.168.1.100是本機IP 80是端口
35106 40 A 3456172238 1370391300 27
這些就是對方端口之類的，不用管RECEIVE指入站包，如果是SEND則是你發出去包。
通過分析這些防火墻日志，就可以找出潛在威脅，比如誰嘗試連接你的終端端口連接終端是有目的的：
1.無聊分子瞎弄
2.已經成功提權了（或社工）了你的密碼，想通過終端進入服務器
Windows防火墻日志分析過程就為大家介紹完了，希望讀者已經掌握和理解了，我們還會繼續為大家提供相關文章，敬請關注。
【編輯推薦】
責任編輯：佚名
來源：
紅黑聯盟
