VIP20

本课程属于：011-数据治理与访问控制 数据工程与实时数据平台 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

多源审计日志分析与安全事件溯源

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

审计日志基础

什么是审计日志、核心价值与常见类型（系统/应用/安全日志），Syslog、JSON、CEF 格式标准。

SyslogCEF标准

日志采集架构

集中式架构设计，Agent vs Agentless 采集，TCP/UDP/Reliable TCP 传输协议与源接入规范。

Agent传输协议接入

日志存储与索引

Elasticsearch 集群搭建、索引生命周期管理、分片副本策略及冷热分层存储。

日志解析与清洗

Logstash 管道配置、Grok 正则解析、字段提取与类型转换，脏数据处理策略。

GrokLogstash清洗

日志关联分析

多源日志时间对齐、IP与用户关联、事件序列分析及基于规则的关联引擎设计。

关联序列规则引擎

异常检测模型

统计基线、阈值告警、Isolation Forest 机器学习异常检测及 Prophet 时序预测。

MLProphet基线

用户行为分析 (UEBA)

用户实体画像构建、行为基线建立、异常行为评分与内部威胁检测。

UEBA画像威胁

攻击链还原

Kill Chain 模型映射、多阶段攻击日志关联、攻击路径可视化与时间线重建。

Kill Chain溯源可视化

合规审计场景

PCI DSS、GDPR、SOX 及等保2.0 日志要求与审计规范。

PCI DSSGDPR等保

实时告警引擎

Drools/Esper 规则引擎、告警去重聚合、升级机制及多渠道通知（邮件/钉钉/Webhook）。

Drools告警Webhook

日志可视化

Kibana 仪表盘设计、安全态势大屏、Top N 攻击源统计与地理分布地图。

Kibana大屏地图

数据脱敏与安全

掩码/替换/加密脱敏、敏感数据发现、访问控制审计及数据水印技术。

脱敏水印访问控制

日志压缩与归档

Gzip/Zstd 压缩算法、归档策略、HDFS/对象存储长期方案及检索归档数据。

Logstash 调优、Elasticsearch 写入/查询优化及资源估算模型。

调优写入估算

日志质量监控

丢失检测、延迟监控、格式校验与完整性校验机制。

质量校验延迟

容器环境日志

Docker 日志驱动、Kubernetes 采集（Fluentd/Filebeat）、Pod 日志管理与持久化。

云环境日志

AWS CloudTrail、Azure Monitor、GCP Cloud Logging 及多云统一管理。

CloudTrailAzureGCP

网络设备日志

交换机/路由器 Syslog、防火墙日志、IDS/IPS 及 NetFlow 流量日志分析。

SyslogNetFlowIDS

数据库审计日志

MySQL、Oracle、SQL Server 审计日志及数据库活动监控。

MySQLOracle审计

应用日志分析

Nginx/Apache Web 日志、应用错误日志、API 调用及业务日志分析。

NginxAPI错误日志

日志取证分析

链式存储、数字签名验证、时间戳可信性及取证报告生成。

取证签名链式

自动化响应

SOAR 平台集成、Playbook 编排、自动封禁 IP 与隔离主机。

SOARPlaybook封禁

日志搜索技巧

KQL、Lucene 语法、聚合查询与跨索引搜索。

KQLLucene聚合

日志数据建模

字段标准化、事件模型、实体关系模型及标签体系设计。

建模实体标签

大规模日志处理

Kafka 消息队列、日志分区策略、消费组管理与背压机制。

Kafka分区背压

日志成本控制

采样策略、分级存储、数据生命周期管理与成本可视化。

采样分级成本

日志平台高可用

多节点集群、故障转移、数据副本策略与灾备方案。

高可用灾备副本

日志分析报告

日报/周报自动生成、安全态势报告、合规报告与管理层报告。

报告自动化态势

实战案例一：Web攻击

SQL注入、XSS、CSRF 日志分析，攻击者溯源与应急响应。

SQL注入XSS溯源

实战案例二：泄露与APT

内部数据泄露、DDoS、APT 攻击日志分析，总结与最佳实践。

APTDDoS最佳实践