Ders 1.10: Günlükler nerede durur
Her uyarı günlüklerden kurulur ve her soruşturma sonunda onları okur. Linux metin günlüklerini /var/log altında ve systemd journal'ında tutar; web sunucuları istek başına bir satır yazar; güvenlik duvarları engellediklerini günlüğe yazar; Windows sayılarla tanımlanan yapılandırılmış olaylar yazar. Her birinin kendi biçimi vardır ve beceri, hangi kaynağın hangi soruyu yanıtladığını bilmektir. Laboratuvarda tek bir geceden dört kaynağı okuyorsun: SSH başarısızlıkları, web istekleri, güvenlik duvarı engellemeleri ve Windows oturum açma başarısızlıkları, ve her birinde aynı örüntüyü buluyorsun.
17 dk
Bu derste öğreneceklerin
- Ana günlük kaynaklarını ve nerede durduklarını saymak
- Syslog biçimindeki satırları okumak
- Web sunucusunun birleşik günlük biçimini okumak
- Güvenlik duvarı engelleme günlüklerini okumak
- JSON olarak dışa aktarılmış Windows olaylarını sorgulamak
Temel terimler
- Syslog
- Klasik Unix günlük biçimi ve protokolü: zaman damgası, makine, program[pid]: mesaj.
- systemd journal
- Linux'un yapılandırılmış günlük deposu; journalctl ile okunur.
- Erişim günlüğü
- Her web isteği için bir satır: istemci IP'si, zaman, istek, durum kodu, boyut, yönlendiren, kullanıcı ajanı.
- Windows Olay Günlüğü
- Kanallarda (Security, System, Application, Sysmon…) her biri sayısal bir Event ID'ye sahip yapılandırılmış olaylar.
- Günlük saklama
- Günlüklerin ne kadar süre tutulduğu.
← Bir web uygulamasının anatomisi · Tüm dersler · IAM ve en az yetki →