如何在 ELK 的字段中解析 IP

Question

我正在尝试自动化/简化审查 ELK（ElasticSearch、Logstash、Kibana）中防火墙规则的程序。 我有一些从 CSV 获得的数据，其结构如下：

Source;Destination;Service;Action;Comment
10.0.0.0/8 172.16.0.0/16 192.168.0.0/24 23.2.20.6;10.0.0.1 10.0.0.2 10.0.0.3;udp:53 
tcp:53;accept;No.10: ID: INC0000000001

我的目标是通过解析每个字段（用于子网和/或 IP 地址）在 ELK 中导入这些数据，如果可能，添加一个包含每个字段的顺序字段（IP_Source1、IP_Destination2 等）。

据您所知，这可能吗？怎么样？

感谢您提供的任何提示

Answer 1

您可以创建一个将输入作为文件的 logstash 配置。然后使用第一个 csv 过滤器。 CSV 过滤器应如下所示。

filter {
    csv {
        columns => ["source", "destination", "service", "action", "comment"]
        separator => ";"
    }
}

下一个过滤器需要是红宝石过滤器。

filter { 
    ruby { 
       code => "
          arr = event.get(source).split('')
          arr.each.with_index(1) do |a, index|
               event.set(ip_source+index, a)
          end
       "
    }
}

Final 会输出到 elasticsearch。

我没有测试过代码。但我希望这能给你很好的提示。