Aufgabe 07 - Logdatei-Detektiv

Aufgabe 07 - Logdatei-Detektiv

Worum geht es?

Reguläre Ausdrücke im Ernstfall: Sie werten die Logdatei eines (fiktiven) Schulservers mit rund 500 Zeilen aus und beantworten Fragen, die von Hand nicht zu beantworten wären (siehe Kapitel Reguläre Ausdrücke). Die Auswertung von Logdateien gehört zu den häufigsten realen Einsätzen regulärer Ausdrücke, von der Fehlersuche bis zur Sicherheitsanalyse.

Was Sie dafür brauchen

• Kapitel Reguläre Ausdrücke, insbesondere benannte Gruppen und findall; Aufgabe 06.
• Sicherer Umgang mit Dictionaries, Listen und Sortierung.
• Die Datei server.log (500 Zeilen, ein Betriebstag), Zeilenformat: 2026-03-14 09:31:02 LOGIN user=amuster ip=10.0.3.17 status=OK mit den Ereignissen LOGIN, LOGOUT, ERROR und den Status OK / FAIL. Achtung: Die Datei stammt aus dem echten Betrieb und enthält auch Zeilen, die dem Format nicht entsprechen.

Welche Kompetenzen Sie erwerben und zeigen

• Sie parsen halbstrukturierte Textdaten robust mit einem Muster mit benannten Gruppen.
• Sie kombinieren Regex mit Datenstrukturen zu echten Auswertungen (Zählen, Ranglisten, Gruppierungen).
• Sie verwandeln Rohdaten in einen lesbaren, wiederverwendbaren Bericht.

Pädagogische Einordnung

• Reproduktion: das Zeilenformat beschreiben und einzelne Zeilen mit einem gegebenen Ansatz zerlegen (Teil A).
• Reorganisation und Transfer: Muster und Datenstrukturen zu Auswertungen kombinieren (Teile B und C).
• Reflexion, Problemlösung und Urteilsbildung: Auffälligkeiten interpretieren, einen begründeten Verdacht formulieren und die Grenzen der Analyse beurteilen (Teil D).

Arbeitsaufträge

Die Übung ist auf etwa zwei Stunden ausgelegt. Teil D ist der Expertenteil.

Teil A - Erste Sichtung

1. Lesen Sie die Datei zeilenweise ein und geben Sie die Gesamtzahl der Zeilen aus.
2. Zählen Sie mit einfachen String-Mitteln (in), wie viele Zeilen das Wort FAIL enthalten. Notieren Sie den Wert; er dient später als Kontrollzahl.
3. Geben Sie die ersten fünf Zeilen aus, die ERROR enthalten.

Teil B - Sauber parsen

1. Entwickeln Sie ein Muster mit benannten Gruppen ((?P<date>...), (?P<time>...), (?P<event>...), (?P<user>...), (?P<ip>...), (?P<status>...)), das eine komplette Zeile zerlegt.
2. Schreiben Sie parse_line(line): liefert ein Dictionary mit den sechs Feldern oder None, wenn die Zeile nicht dem Format entspricht.
3. Parsen Sie die ganze Datei: gültige Zeilen in eine Liste von Dictionaries, ungültige zählen und mit Zeilennummer sammeln, ohne Absturz. Wie viele ungültige Zeilen enthält die Datei?

Teil C - Die Ermittlungen

Beantworten Sie mit Code auf Basis der geparsten Daten:

1. Wie viele fehlgeschlagene Logins (LOGIN mit FAIL) gibt es insgesamt? Vergleichen Sie mit Ihrer Kontrollzahl aus Teil A und erklären Sie eine allfällige Abweichung.
2. Welche drei Benutzer haben die meisten Fehlversuche? (Dictionary als Zähler, dann sortieren.)
3. In welcher Stunde des Tages passieren die meisten Fehlversuche? (Die Stunde steckt in der Zeit-Gruppe.)
4. Von welchen IP-Adressen kamen Fehlversuche für mehr als einen Benutzer?

Teil D - Expertenteil: Der Bericht

1. Schreiben Sie write_report(records, path): erzeugt report.txt mit allen Antworten aus Teil C in lesbarer Form (Überschriften, Ranglisten, Zahlen). Die Funktion muss mit jeder Logdatei im selben Format funktionieren, ohne Codeänderung; fest verdrahtete Werte sind nicht zulässig.
2. Ergänzen Sie eine Abschnitt “Verdachtslage”: Formulieren Sie programmatisch einen Hauptverdacht (etwa die IP mit Fehlversuchen auf die meisten verschiedenen Benutzer) und begründen Sie das Kriterium im Bericht selbst.
3. Härtetest: Erzeugen Sie von Hand eine zweite, kleine Logdatei mit fünf Zeilen, davon zwei fehlerhafte (falsches Datum, fehlendes Feld). Ihr Programm muss durchlaufen und die fehlerhaften Zeilen korrekt ausweisen.
4. Beurteilen Sie in drei Sätzen: Welche Aussagen erlaubt diese Analyse, und warum wäre “Benutzer X wurde gehackt” als Schlussfolgerung unzulässig? (Stichwort: Indiz gegen Beweis.)

Wissenscheck

1. Warum ist ein Muster mit benannten Gruppen dem Zerschneiden mit split(" ") hier überlegen?
2. Was soll ein Parser mit Zeilen tun, die dem Format nicht entsprechen, und was spricht gegen stilles Verwerfen?
3. Wie sortiert man ein Dictionary mit Zählern nach den größten Werten?
4. Ihre Auswertung liefert für dieselbe Frage zwei verschiedene Zahlen, je nach Methode (Teil A gegen Teil C). Welcher trauen Sie mehr, und warum?
5. Warum gehört die Formatbeschreibung der Logdatei in die Dokumentation Ihres Programms?

Abgabe

detective.py, der erzeugte report.txt, Ihre Mini-Testdatei aus Teil D und die Antworten des Wissenschecks als Kommentar.