本文介绍如何在Splunk中导入防火墙日志并进行分析。通过搜索含有dropped的消息，定位被丢弃的数据包。进一步利用iplocation函数获取源IP地址的地理位置信息，并使用geostats函数对这些地理位置进行统计。
将防火墙日志导入splunk
搜索drop信息相关信息：msg=*dropped*
source ip的归属地：相关函数 iplocation （iploc_len,iploc_log)
地理信息统计相关函数：geostats
host="*.*.*.*" msg=*dropped* | iplocation prefix=iploc_ allfields=true src | fields iploc_* | table iploc_* | geostats latfield=iploc_lat longfield=iploc_lon count by iploc_City
扫一扫
2143
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
