ELK grok规则分析

友人a笔记

已于 2022-01-20 10:06:20 修改

阅读量3.6k

点赞数 1

分类专栏： # ELK 文章标签： elk grok flow 日志分析

于 2022-01-19 18:13:44 首次发布

本文为博主原创文章，未经博主允许不得转载。如有疑问，请在该文章中留言联系博主，谢谢！！

本文链接：https://blog.csdn.net/tladagio/article/details/122586336

版权

本文介绍了如何利用ELK Stack（Elasticsearch, Logstash, Kibana）进行日志分析，特别是针对路由器NAT访问记录的收集与处理。首先，确保ELK7.5已部署；然后，配置路由器开启NAT日志并输出到logstash服务器。在logstash端，通过grok规则调试提取目的IP和端口，定制配置文件进行日志处理。接着，在Kibana中查看和分析日志，创建可视化视图以展示NAT对外端口的访问次数。此外，文章还提供了源数据、Grok过滤器的使用示例。" 104989348,8155162,数据库系统：安全性、可靠性和加密技术详解,"['安全', '数据库理论', '加密算法', '认证技术', '数据完整性']

摘要由CSDN通过智能技术生成

前提：

ELK服务器已经部署：ELK7.5

需求：

需要采集路由器NAT访问记录，查看被远程访问的次数

一、路由器

1、开启NAT日志功能

<MSR56> system-view
[MSR56] nat log enable

2、开启NAT新建、删除会话和活跃流的日志功能

#根据需求选择开启，这里为了减少日志输出没有开启删除会话记录
[MSR56] nat log flow-begin
[MSR56] nat log flow-active 10

3、配置Flow日志信息输出到信息中心(默认Flow日志不输出)

[MSR56] userlog flow syslog

直接配置Flow日志输出到logstash会显示乱码

4、配置信息中心日志输出到logstash服务器

#10.5.10.126为logstash服务器IP
[MSR56] info-center loghost 10.5.10.126

二、logstash服务器

1、前台启动，查看到路由器输入的日志

<190>Jan 19 15:57:59 2022 MSR56 %%10NAT/6/NAT_FLOW: -Slot=2; Protocol(1001)=UDP;Application(1002)=dns;SrcIPAddr(1003)=10.5.40.9;SrcPort(1004)=29025;NatSrcIPAddr(1005)=163.63.111.150;NatSrcPort(1006)=21051;DstIPAddr(1007)=200.96.128.86;DstPort(1008)=53;NatDstIPAddr(1009)=200.96.128.86;NatDstPort(1010)=53;InitPktCount(1044)=0;InitByteCount(1046)=0;RplyPktCount(1045)=0;RplyByteCount(1047)=0;RcvVPNInstance(1042)=;SndVPNInstance(1043)=;RcvDSLiteTunnelPeer(1040

最低0.47元/天解锁文章

友人a笔记

关注

1
点赞
踩
1

收藏

觉得还不错? 一键收藏
打赏
0
评论
ELK grok规则分析

前提：ELK服务器已经部署：ELK7.5需求：需要采集路由器NAT访问记录，查看被远程访问的次数一、路由器1、开启NAT日志功能<MSR56> system-view[MSR56] nat log enable2、开启NAT新建、删除会话和活跃流的日志功能#根据需求选择开启，这里为了减少日志输出没有开启删除会话记录[MSR56] nat log flow-begin[MSR56] nat log flow-active 103、配置Flow.
复制链接

扫一扫