1988年Morris蠕虫事宜直接导致了CERT/CC的出身。美国国防部(DoD)在卡内基梅隆大学的软件工程研究所成立了打算机应急相应组折衷中央(CERT/CC)以折衷Internet上的安全事宜处理。目前，CERT/CC是DoD帮助下的抗毁性网络系统操持(Networked Systems Survivability Program)的一部分，下设三个部门：事宜处理、薄弱性处理、打算机安全应急相应组（CSIRT）。
在CERT/CC 成立之后的14年里，共处理了28万多封Email，2万多个热线电话，其运行模式帮助了80多个CSIRT组织的培植。
2.应急相应场景当用户的信息系统发生网络非常、可能存在恶意攻击的时候，须要排查剖析做事器和干系运用日志，确认运用是否被黑客攻击了，攻击类型有哪些类型、攻击IP是多少、是否可能被植入webshell、乃至掌握系统等一系列溯源剖析。
剖析日志是常用的溯源手段，下面以web日志剖析为例，说一下日志剖析的技巧。
3.日志剖析技巧在对WEB日志进行安全剖析时，一样平常可以按照两种思路展开，逐步深入，还原全体攻击过程。
第一种：确定攻击的韶光范围，以此为线索，查找这个韶光范围内可疑的日志，进一步排查，终极确定攻击者，还原攻击过程。
第二种：攻击者在攻击网站后，常日会留下后门坚持权限，以方便再次访问，我们可以找到该文件，并以此为线索来展开剖析。
常用剖析工具：
Window下，可以利用iislogviewer、文本编辑器等进行筛选查看。
Linux下，利用Shell命令组合查询剖析,一样平常结合grep、awk等命令等实现了几个常用的日志剖析统计技巧。
1、列出日志文件访问次数最多的IP命令：
cut -d- -f 1 log_file|uniq -c | sort -rn
这条命令表示从日志文件log_file中截取IP字段并排序显示，个中-d后面的参数表示各字段利用的分割字符，-f 1 表示显示的是哪个字段（如果log_file第一列是IPuniq –c表示在输出的每列重复的次数
2、查看当天有多少个IP访问：
awk '{print $1}' log_file|sort|uniq|wc -l
3、查看某一个页面被访问的次数：
grep "/index.php" log_file | wc -l
4、查看每一个IP访问了多少个页面：
awk '{++S[$1]} END {for (a in S) print a,S[a]}' log_file
5、将每个IP访问的页面数进行从小到大排序：
awk '{++S[$1]} END {for (a in S) print S[a],a}' log_file | sort -n
6、查看某一个IP访问了哪些页面：
grep ^111.111.111.111 log_file| awk '{print $1,$7}'
7、去掉搜索引擎统计当天的页面：
awk '{print $12,$1}' log_file | grep ^\"Mozilla | awk '{print $2}' |sort | uniq | wc -l
4.web日志中的攻击检讨根据web攻击特色，检索剖析日志是否包含攻击特色，如果检索结果里面包含攻击日志，证明web正在遭受攻击。
1.SQL注入检攻击检测
Grep -E -i "select|%20and%201=1|%20and%201=2|exec|%27exec| information_schema.tables|information_schema.tables|where%20|union|%2ctable_name%20|cmdshell|%20table_schema" /www/logs/access.log
2.xss跨站脚本攻击检测
grep -E -i " (S)%3C(S+)%3E|(S)%3C(S+)%2F%3E|(S+)<(S+)>|(S+)<(S+)/>|onerror|onmouse|expression|alert|document.|prompt()" /www/logs/access.log
3.命令注入攻击攻击检测
grep -E -i "ping%20-c%20|ls%20|cat%20|%20pwd|net user" /www/logs/access.log
5.文件包含攻击检测
grep -E -i "/passwd|win.ini|/my.ini|/MetaBase.xml|/ServUDaemon.ini|cmd.exe" /www/logs/access.log
7.网站被植入webshell后门检测
grep -E -i "eval|%eval|%execute|%3binsert|%20makewebtaski|/1.asp|/1.jsp|/1.php|/1.aspx|/xiaoma.jsp|/tom.jsp|/py.jsp|/k8cmd.jsp|/k8cmd|/ver007.jsp|/ver008.jsp|/ver007|/ver008|.aar|%if" /www/logs/access.log
8.暴力破解账号攻击检测
grep -E -i "POST.login" /www/logs/access..log
grep -E -i "login.200" /www/logs/access.log
grep -E -i "login" /www/logs/access. log | grep -E -i "POST" | grep -E -i "200"
结束语：通过linux命令的组合加上正则表达式可以大略快捷的对运用日志进行剖析，溯源攻击路径。
