日志分析就是对有关操作系统、系统应用或用户活动所产生的一系列的计算机安全事件进行记录和分析的过程。在计算机系统中，安全管理员采用日志分析审计系统来监视系统的状态和活动，并对日志文件进行分析、及时发现系统中存在的安全问题。
一个安全的网络系统中的日志分析审计系统，是对网络系统中任一或所有安全相关事件进行记录、分析和再现的处理系统。对于日志分析审计系统的一般要求主要包括:
①记录与再现:要求审计系统能够记录系统中所有的安全相关事件，同时，如果有必要，应该能够再现产生某一系统状态的主要行为:
②入侵检测:分析审计系统应能够检查出大多数常见的系统入侵的企图，同时，经过适当的设计，应该能够阻止这些入侵行为:
③记录入侵行为:分析审计系统应该记录所有的入侵企图，即使某次入侵己经成功，这时候调查取证和系统恢复必不可少的:
④威慑作用:应该对系统中具有的日志分析审计系统及其性能进行适当宣传，这样可以对企图入侵者起到威慑作用，又可以减少合法用户在无意中违反系统的安全策略:
⑤系统本身的安全性:必须保证吕志分析审计系统本身的安全性，其中，一方面包括操作系统和软件的安全性，另一方面包括分析审计数据的安全性:一般来说，要保证吕志分析审计系统本身的安全，必须与系统中其他安全措施，例如认证、授权、加密措施等相配合。
日志分析审计的功能包括:
①对潜在的攻击者起到震慑或警告:
②对于已经发生的系统破坏行为，提供有效的追纠证据:
③为系统管理员提供有价值的系统使用日志，从而帮助系统管理员及时发现系统入侵行为或潜在的系统漏洞。
日志分析审计范围包括操作系统和各种应用程序。操作系统日志分析审计子系统的主要目标是检测和判定对系统的渗透及识别误操作。其基本功能为:分析对象(如用户、文件操作、操作命令等)的选择:分析文件的定义与自动转换:文件系统完整性的定时检测:审计信息的格式和输出媒体:逐出系统、报警阀值的设置与选择:分析日志记录及其数据的安全保护等。应用程序分析审计子系统的重点是针对应用程序的某些操作作为审计对象进行监视和实时记录并据记录结果判断此应用程序是否被修改和安全控制，是否在发挥正确作用:判断程序和数据是否完整:依靠使用者身份、口令验证终端保护等办法控制应用程序的运行。
网络日志分析审计一般包括以下分析审计事件:身份鉴别机制的使用:将客体引入用户地址空间:客体的删除:操作员、系统管理员或(和)系统安全管理员所实施的动作:其他的与安全相关的事件。雨每一事件的分析审计记录项应包括:事件的日期与时间:用户:事件类型:事件成功与否:对于身份鉴别事件分析审计记录还应包括请求的来源(如，终端标识符)。对于客体引入用户地址空间的事件及客体删除事件，分析审计记录还应该包括客体的名称和客体的安全级别等。
一个日志分析审计系统的简单模型包括两个部分:日志数据采集器，它用于采集数据；日志数据分析器，它负责对分析审计数据采集器发送给它的日志数据进行分析。通常，从数据采集器向数据分析器传送日志数据，是由一个文件来完成的，当从不同的系统采集日志数据时，就会产生问题，这是对日志分析审计来说，缺少一个标准的接口。
从日志记录中提取综合的信息来形成查询是非常困难的一件事。在浏览日志时，可以借助于许多工具。在开发有效的日志分析工具时，所遇到的主要障碍是需要处理日志机制生成的大量数据。