Debian Apache日志中如何查找惡意訪問

在Debian系統上，Apache日志文件通常位于/var/log/apache2/目錄下，包括access.log和error.log。要查找惡意訪問，可以采取以下幾種方法：

使用命令行工具分析日志

• 查看訪問日志：使用cat命令查看完整的訪問日志文件。

  cat /var/log/apache2/access.log
  

• 實時監控訪問日志：使用tail -f命令實時查看日志文件的變化。

  tail -f /var/log/apache2/access.log
  

• 查找特定關鍵字：使用grep命令查找特定的關鍵字或模式，例如查找錯誤信息。

  grep "error" /var/log/apache2/error.log
  

• 統計IP訪問次數：使用awk、sort和uniq等命令統計每個IP地址的訪問次數。

  cat /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr
  

• 查找惡意IP：通過分析錯誤日志中的“File does not exist”錯誤來查找惡意IP。

  awk '/File does not exist/ { print $1 }' /var/log/apache2/error.log* | sort -k1n | uniq -d -c | awk '$1 > 50 {print $2}' > /tmp/malicious_ips.txt
  

  上述命令會列出訪問次數超過50次的IP地址。

使用日志分析工具

• EventLog Analyzer：這是一個智能日志審計系統，可以收集、解析和分析Apache日志，具備先進的威脅檢測和實時告警功能。
• GoAccess：這是一個基于Web的實時Web日志分析器，可以生成HTML報告以及JSON和CSV報告，適合分析Apache訪問日志。

使用iptables過濾惡意IP

• 創建iptables規則：根據分析出的惡意IP地址，創建iptables規則來阻止這些IP的訪問。

  for ip in $(cat /tmp/malicious_ips.txt); do
    iptables -A INPUT -s $ip -j DROP
  done
  

  上述命令會遍歷/tmp/malicious_ips.txt文件中的每個IP地址，并將它們添加到iptables的DROP規則中。