日志管理日志排查課前準備1.回顧日志的操作；2.觀看日志分析案例。

日志的操作日志分析案例

情境導入公司依據(jù)網(wǎng)絡等級保護三級對于日志管理的要求：“應詳細記錄運維操作日志，包括日常巡檢工作、運行維護記錄、參數(shù)的設置和修改等內(nèi)容”。為了記錄和查看企業(yè)用戶操作系統(tǒng)的日志，除了行政管理要求外，管理員還需要掌握對系統(tǒng)日志審計操作，從而及時發(fā)現(xiàn)可能存在的異常情況，做好系統(tǒng)的安全防護工作。為此，公司管理員需要完成以下運維工作：排查Windows日志；排查Linux日志。情境導入-教師基于課前自測情況開展評價活動教師基于課前自測情況開展活動教師展示學生預習自測題情況教師就測試結(jié)果完成課前評價1.攻擊者是用什么手段進行滲透入侵？2.分析一下攻擊者，用什么方式登錄到當前主機的。3.登錄后做了什么？根據(jù)安全管理要求，提出任務：教學活動一：排查Windows系統(tǒng)日志公司的WINDOWS服務器前天晚上突然服務有所異常，現(xiàn)經(jīng)安全運維人員緊急處理，將服務器斷網(wǎng)后，經(jīng)過仔細排查，發(fā)現(xiàn)有帳號的登錄，將服務器的日志已經(jīng)導出帶回?，F(xiàn)要求安全技術(shù)人員對系統(tǒng)日志進行審計，要求如下：教學活動一：排查Windows系統(tǒng)日志要找出惡意者做了什么，分析日志的步驟是什么？對于一份日志，我們應該是按怎么步驟進行分析？教師點評、組織學生互評教學活動一：排查Windows系統(tǒng)日志步驟01任務步驟先初步瀏覽，發(fā)現(xiàn)不同的日志區(qū)間；步驟02篩選可疑事件ID；步驟03確定可疑事件ID出現(xiàn)的時間段；步驟04按照最后的時間段，繼續(xù)向下排查；步驟05定位異常事件。教學活動一：排查Windows系統(tǒng)日志任務初探下發(fā)任務單（課中資料）下發(fā)操作視頻學生開展活動一實訓教師點評任務完成情況教學活動一：排查Windows系統(tǒng)日志教師點評活動一實訓環(huán)節(jié)（參與度、完成情況）提出教學KR1目標10分鐘內(nèi)完成任務要求01學生再次練習完成KR1指標02教師點評KR1活動達標率教學活動二：排查Linux日志公司的Linux服務器又到規(guī)定的運維時間，日志已經(jīng)下載到本地，要求安全技術(shù)人員進本地Linux系統(tǒng)上對日志進行排查：提出活動內(nèi)容Linux下可以用什么命令？Linux下的日志排查的步驟是什么？教學活動二：排查Linux日志小結(jié)1討論小結(jié)Linux下可以使用sort,uniq,grep,awk等命令結(jié)合過濾與統(tǒng)計日志中的信息；小結(jié)2Linux下的日志排查的步驟與Windows是一樣的（先粗后細）。教師點評，組織學生自評、互評設定共享權(quán)限的原則：教學活動二：排查Linux日志步驟01任務步驟將實訓的testlog.tar.gz日志文件在Linux系統(tǒng)中解包；步驟02按要求排查日志，找出最后一次root的登錄時間、從什么地方登錄；步驟03排查相關日志，找出最后一次網(wǎng)絡登錄的來源IP是什么；組織學生觀看操作錄屏分小組討論任務步驟。步驟04查看系統(tǒng)登錄錯誤的日志文件，找出最后二次錯誤登錄的時間和來源；步驟05統(tǒng)計從ssh登錄錯誤的次數(shù)，它們出現(xiàn)的時間段；步驟06排查相關日志,找到panda用戶成功登錄的時間；步驟07進一步排查日志，顯示panda用戶被驗證錯誤的時間段；步驟08再進一下排查日志。教學活動二：排查Linux日志步驟01任務步驟解壓日志，初步瀏覽；（1）過濾root用戶登錄事件（2）過濾大量錯誤日志步驟02排查來源；步驟04教師點評，組織學生自拍、互評確定登錄錯誤到最后一次登錄成功時間段；排查其他影響。步驟03教學活動二：排查Linux日志任務初探下發(fā)任務單（課中資料）下發(fā)操作視頻，根據(jù)視頻完成任務學生開展活動二實訓教師評價學生小組完成任務情況教學活動二：排查Linux日志教師點評活動二實訓環(huán)節(jié)（參與度、完成情況）提出教學KR2目標10分鐘內(nèi)按要求完成Linux日志排查01學生再次練習完成KR2指標02教師點評KR2活動達標率課堂總結(jié)學習要點排查Windows系統(tǒng)日志；排查Linux日志。思政要點網(wǎng)絡安全法要求企業(yè)要按等保要求，安全個體要有安全意識；企業(yè)的安全要實施管理與技術(shù)都要有要求，才能實現(xiàn)安全基本要求。課后作業(yè)思考與練習在簡述排查Windows日志思路與步驟；