Dieser Einsteigerkurs vermittelt einen Kommandozeilenablauf zum Lesen von Linux-Textprotokollen und Extrahieren nützlicher Belege. In fünf angeleiteten Labs findest du gängige Protokolldateien, verfolgst neue Ereignisse, suchst und zählst Einträge, wählst Felder mit awk und transformierst Textströme mit sed.
Die Abschlussuntersuchung verbindet diese Werkzeuge mit Beweissicherung: Du kopierst ein vorbereitetes Authentifizierungsprotokoll, bestimmst die wiederkehrende IP, extrahierst ersten und letzten Zeitstempel und erstellst einen Kurzbericht.
Was du lernen wirst
/var/logerkunden und aktuelle Einträge aussyslogundauth.logprüfen- Neue Authentifizierungsereignisse mit
tail -fin Echtzeit verfolgen - Fehlanmeldungen mit
grepfiltern und Treffer überwc -lzählen - Protokollergebnisse nach Datum oder anderen Literalmustern eingrenzen
- Durch Leerzeichen getrennte Felder aus System- und Zugriffsprotokollen mit
awkextrahieren - Text ersetzen, Zeilenbereiche auslassen und Beispielbenutzer mit
sedmaskieren - Originalbelege durch Kopieren des Protokolls vor der Untersuchung bewahren
- Angreifer-IP und ersten sowie letzten Ereigniszeitpunkt bestimmen und einen Bericht erstellen
Für wen dieser Kurs geeignet ist
Dieser Kurs richtet sich an Linux-Einsteiger, Supportkräfte und angehende Operations- oder Sicherheitsfachkräfte, die eine fokussierte Einführung in Textprotokolle und shellbasierte Belegextraktion suchen.
Voraussetzungen: Grundlegende Terminalnavigation, Dateiansicht, Pipes, Ausgabeumleitung und sudo; Erfahrung mit awk oder sed ist nicht erforderlich.
Lernumgebung: Ein Ubuntu-basiertes LabEx-Terminal mit vorbereiteten Textprotokollen, zwei Terminals für Live-Monitoring, Beispieldateien und synthetischem Authentifizierungsereignis.
Häufig gestellte Fragen
Wie ist der Kurs aufgebaut?
Fünf Labs bieten angeleitete Übungen. Im sechsten Teil analysierst du eine Kopie von auth.log, speicherst IP und Zeitachse und erstellst mit weniger Anleitung einen Bericht.
Behandelt der Kurs journalctl oder Logrotation?
Nein. Er konzentriert sich auf Dateien unter /var/log und Textwerkzeuge. systemd-Journalabfragen, logrotate, Aufbewahrung und komprimierte Archive sind nicht enthalten.
Verändern die sed-Übungen die Originaldateien?
Nein. Die Befehle verwenden kein -i; Ersetzung, Zeilenauslassung und Maskierung werden ausgegeben, ohne die Quelle zu ändern.
Basiert der Vorfall auf echten Produktionsdaten?
Nein. Das Lab liefert ein synthetisches Protokoll mit Fehlern von 203.0.113.42. Du bewahrst eine Kopie, extrahierst beide Randzeiten und nimmst mindestens IP und Start in incident_report.txt auf.
