【Graylog】通过Pipelines在Graylog生成IP地理位置信息

在当今数字化时代,随着网络攻击的不断增加和全球化的用户活动,了解IP地址的地理位置信息变得越来越重要。对于网络安全和营销策略来说,掌握IP地址的地理信息可以带来许多好处。

接下里将介绍如何通过Graylog的Pipelines功能,在日志管理平台Graylog中生成IP地址的地理位置信息。Graylog作为一个强大的日志分析工具,不仅可以帮助我们收集和分析日志数据,而且通过Pipelines功能,还可以对日志进行处理和增强。

操作步骤

  1. 获取 GeoIP 数据库文件:首先,需要获取 GeoIP 数据库文件,这些文件包含了 IP 地址与地理位置的映射信息。可以从 MaxMind 或其他提供商获取这些文件。然后将数据库文件上传到服务器上,本例中保存位置为:/usr/share/graylog/data/config/GeoLite2/GeoLite2-City.mmdb

    https://www.maxmind.com/ 免费注册并下载

  2. 接下来,在 System -> Lookup Tables 下找到"Data Adapters",在页面上,选择 "Create data adapter",并填写如下所示的信息:

  3. 下一步,使用如下所示在Cache下,点击"Create cache"按钮创建一个新缓存:

  4. 在 Lookup Table 的最后一步中,我们需要使用之前两个步骤创建的Data Adapter 和Cache 来创建Lookup Table

  5. 现在Lookup Table已经创建好了,并可以使用了,然后需要创建一个Pipeline规则来利用它,并在每条带有 IP 地址的消息中添加元数据。

前往(System -> Pipelines),在"Manage rules"下创建一个新规则。给它一个描述,以便记住它,在"Rule Source"中放入以下内容:

javascript 复制代码
rule "GeoIP lookup: nf_src_address"
when
 has_field("nf_ipv4_src_addr")
then
 let geo = lookup("GeoLite2-City", to_string($message.nf_ipv4_src_addr));
 set_field("nf_src_addr_geo_location", geo["coordinates"]);
 set_field("nf_src_addr_geo_country", geo["country"].iso_code);
 set_field("nf_src_addr_geo_city", geo["city"].names.en);
end
  1. 在创建Rules之后,需要将把它添加到处理带有 IP 地址的日志的Pipeline中的一个阶段中,然后处理将开始运行。
  2. 最后一旦新的日志通过管道,您将看到日志条目里面就新增了nf_src_addr_geo_location / nf_src_addr_geo_country。

最后理论上,只要在"nf_src_addr_geo_location"上运行搜索聚合,并将表格类型更改为"World Map",将会得到类似以下截图:

但在测试环境里面打不开open street map,暂时还没去研究为什么打不开,有解决办法的可以告知。

相关推荐
江理不变情1 小时前
海思ISP调试记录
网络·接口隔离原则
世界尽头与你1 小时前
【安全扫描器原理】网络扫描算法
网络·安全
GKoSon2 小时前
加入RPC shell指令 温箱长时间监控
网络·网络协议·rpc
hgdlip3 小时前
关闭IP属地显示会影响账号的正常使用吗
网络·网络协议·tcp/ip·ip属地
中云时代-防御可测试-小余3 小时前
高防IP是如何防护DDoS攻击和CC攻击的
运维·服务器·tcp/ip·安全·阿里云·ddos·宽度优先
Zz_waiting.3 小时前
网络原理 - 7(TCP - 4)
网络·网络协议·tcp/ip
RECRUITGUY3 小时前
用交换机连接两台电脑,电脑A读取/写电脑B的数据
服务器·网络·负载均衡
zheshiyangyang3 小时前
HTTP相关
网络·网络协议·http
爱编程的鱼4 小时前
Windows 各版本查找计算机 IP 地址指南
人工智能·windows·网络协议·tcp/ip·tensorflow
@Aurora.5 小时前
【项目日记(三)】
linux·服务器·网络