日志防火墙检查点 Grok graylog

Question

我是新手，我想为检查点防火墙解析以下日志，我不知道您是否可以帮助我或指导我如何做到这一点，以便我可以看到单独的字段而不是单个字段文字

埃杰普洛：

• 来源：-5:00
• IP：XXX.XXX.XXX.XXX
• 行动：接受
• UUID= XXXX

....

-5:00 192.168.1.2 Action="accept" UUid="{0x61b22d19,0x4,0xf1137d7f,0xc0000000}" inzone="Internal" outzone="Internal" src="10.207.104.247" dst="10.207.106.9" proto="6" xlatesrc="186.5.16.83" NAT_rulenum="14" NAT_addtnl_rulenum="1" rule="21 (Incoming/Internal)" product="VPN-1 & FireWall-1" service="10050" s_port="38930



%{NUMBER}:00 %{IP} Action=%{QS} UUid=%{QS} inzone=%{QS} outzone=%{QS} src=%{QS} dst=%{QS} proto=%{QS} xlatesrc=%{QS} NAT_rulenum=%{QS} NAT_addtnl_rulenum=%{QS} rule=%{QS} product=%{QS} service=%{QS} s_port=%{QS}

我正在尝试下一个 grok，但我没有得到我想要的。

Answer 1

在您提供的示例中，最后缺少 "，否则您的 grok 模式对我有用。

您可以在字段中添加名称，以便您可以轻松地在 graylog 中获取它们，例如：

%{NUMBER}:00 %{IP:ip} Action=%{QS:action} UUid=%{QS:uuid} inzone=%{QS:inzone} outzone=%{QS:outzone} src=%{QS:src} dst=%{QS:dst} proto=%{QS:proto} xlatesrc=%{QS:xlatesrc} NAT_rulenum=%{QS:natrulenum} NAT_addtnl_rulenum=%{QS:nataddtnlrulenum} rule=%{QS:rule} product=%{QS:product} service=%{QS:service} s_port=%{QS:sport}