日志分析有人工分析，计算机手动分析、处理审计记录并与分析人员最后决策相结合的半自动，依靠专家系统作出判断结果的自动化的智能分析等。
日志分析记录实现方式有如下三种:一是集中式自志分析。所有多用户操作系统都有一个统计软件，用于采集用户活动信息。集中式日志分析可以用其实现安全日志分析追踪，但它要么不一定含有安全所需的信息，要么其格式不便使用:二是专用日志分析记录。它只记录入侵检测系统所需的分析审计数据。它可以独立于各种具体操作系统单独运行，便于实现安全日志分析:三是分布式分析。分布式分析审计允许从网络中的异型系统中采集日志数据。这是在网络环境中保证安全性所必需的。因为在同一个网络所发生的用户活动相关性有可能呈现出某个恶意的行为，而相同的行为在单个主机层面上可能看起来是合法的。
1.基于正则表达式的模式匹配日志分析
正则表达式(Regu1ar Expression) 是一种可以用于模式匹配和替换的强有力的工具，在很多词法分析的应用中得到了大量的使用。正则表达式可以让用户通过一系列的特殊字符构建匹配模式，然后捏匹配模式与数据文件、程序输入以及Web 页面的表单输入等目标对象进行比较，根据比较对象中是否包含匹配模式，执行相应的程序。它通常在对日志文件的初步分析中使用。
利用正则表达式对日志进行两层解析的过程如下:
(1)自志的第一层解析主要有以下两个作用:
①将日志所包含的IP 层信息的各个字段区分开，并存入数据库中，如源IP 地址和端口号、目的IP地址和端口号、时间、流量等信息:
②解析结果作为第二层解析的输入，第二崖解析根据各个字段的具体值，进一步调用相应规划进行解析。
(2) 第一层解析已经将日志的各个字段分开，第二层解析将根据cat 字段区分出日志内容的具体类别，然后，根据cat 字段，调用相应的解析程序进行解析，第一层解析结果中的msg 和note 字段是第一层解析的主要输入，这两个字段包含了日志更详细的信息。如入侵的具体方法、登录用户名等信息。
第二层解析后，将根据解析结果同数据库中原有的数据做比较，并做归并操作，完成日志初步统计。
2. 基于美联分析的E 志分析
关联规则挖掘是数据挖掘中最活跃的研究方法之一。给定一个日志数据库，关联规则挖掘问题就是通过用户指定最小支持度(minsupport )和最小可信度(minconfidence)来寻找合适关联规则的过程。
一般地，关联册则挖掘问题可以划分成两个子问题:
(1)发现频繁项目集
通过用户给定的minsupport，寻找所有频繁项目集(Frequent Item set) ，即满足support不小于minsupport 的项目集。事实上，这些频繁项目集可能具有包含关系。一般地，我们只关心那些不被其他频繁项目集所包含的所谓频繁大项集(Frequent Large Item set)的集合。这些频繁大项集是形成关联规则基础。
(2) 生成关联规则
通过用户给定的minconfidence，在每个最大频繁项目集中，寻找confidence 不小于minconfidence 的关联规则。
涉及两个或两个以上谓词的关联规则，称为多维关联规则。在日志的数据分析中，由于每次访问记录都是多维元组，则需要使用多维关联规则分析维间的隐含关系。例如z采用关联规则挖掘主机日志时，发现的规则之一为
10.30.80.209 80 GET • 200 (0.3582 0.6560)
该规则表示主机日志中35.82%是通过80 端口IP 为10 .3 0.80.209 的用户，通过GET途径且访问状态为200 的访问;在该用户通过80 端口GET 途径的所有访问中，访问状态为200 的可能性占65.60% 。
3. 基于聚类分析的日志分析
聚类分析，也叫分类分析，它的基本思想是:我们所研究的样品之间存在程度不同的相似性。根据一批样品的多个观测指标，具体找出一些能够度量样品或指标之间相似程度的统计量，以这些统计量为划分类型的依据。把一些相似程度较大的样品(或指标)聚合为一类，把另外一些彼此之间相似程度较大的样品(或指标)又聚合为另一类，直到把所有的样品(或指标)聚合完毕，这就是分类的基本思想。对于日志分析与审计来说，它的功能是把可疑数据映射到某个给定的类上。分类模型通常以if-then 规则的形式出现。如X→y ， X={Xl, X2，…，Xn}表示条件， y 表示类别。
采用的基本方法是:用一定数量的样本(称为训练样本集) ，由这些样本及其己知类别，给出一套分类判别准则，使得按照这套分类判别准则，对待识别模式进行分类使错误识别率最小。训练完毕后，对任何一个样本，都可以利用分类器将其归到某类中。主要用于预测类别。