grok debugger 正则解析 网络安全设备日志

1、网络设备、安全设备不同品牌、不同型号的设备，日志格式都不一样，那针对这种情况，我们可以使用工具grok debugger进行日志格式解析，具体的网址为：

地址:https://grokdebug.herokuapp.com/

也可以采用私有化部署：

docker 安装grokdebugger

docker pull qiudev/grokdebugger

docker run -d --name grokdebugger -p 19999:9999 qiudev/grokdebugger

这里我们是吧docker内端口9999映射到服务器19999上，这样，我们通过服务器的19999端口就能访问到：

http://XXX.XX.XX.XXX:19999

例：防火墙报文

2024-05-30T11:13:07+08:00 shibianjie-FW klogd: devid=0 date="2024/05/30 11:13:07" dname=XXXX-FW logtype=1 pri=5 ver=0.3.0 rule_name=pf1 mod=pf smac=XX:XX:XX:XX:XX:XX dmac=XX:XX:XX:XX:XX:XX svm= dvm= sa=XX.XX.XX.XXX sport=45751 type=NULL da=XX.XX.XXX.XXX dport=8080 code=NULL proto=IPPROTO_TCP policy=允许 duration=0 rcvd=60 sent=60 fwlog=0 dsp_msg="包过滤日志"

pattern模式匹配

%{timestamp:timestamp}\+\d{2}:\d{2}\s+%{hostname:hostname}\s*klogd:\s*devid=0\s*date="%{dates:dates}"\s*dname=%{dnames:dnames}\s*logtype=%{logtypes:logtypes}\s*pri=%{pris:pris}\s*ver=%{vers:vers}\s*rule_name=%{rule_names:rule_names}\s*mod=%{mods:mods}\s*smac=%{smacs:smacs}\s*dmac=%{dmacs:dmacs}\s*svm=\s*dvm=\s*sa=%{ipaddress:ipaddress}\s*sport=%{sports:sports}\s*type=NULL\s*da=%{daipaddress:daipaddress}\s*dport=%{dports:dports}\s*code=NULL\s*proto=%{protos:protos}\s*policy=%{policys:policys}\s*duration=%{durations:durations}\s*rcvd=%{rcvds:rcvds}\s*sent=%{sents:sents}\s*fwlog=%{fwlogs:fwlogs}\s*dsp_msg=%{dsp_msgs:dsp_msgs}

正则解析：

timestamp \d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}

hostname \S+

dates \d{4}/\d{2}/\d{2} \d{2}:\d{2}:\d{2}

dnames \S+

logtypes \d{1}

pris \d{1}

vers \d{1}.\d{1}.\d{1}

rule_names \S+

mods \S+

smacs \S+

dmacs \S+

ipaddress \S+

sports \S+

daipaddress \S+

dports \S+

protos \S+

policys \S+

durations \S+

rcvds \S+

sents \S+

fwlogs \S+

dsp_msgs \S+