利用es进行非法http_referer筛查

firehive

于 2019-02-01 09:56:57 发布

阅读量311

点赞数

CC 4.0 BY-SA版权

分类专栏： ES

本文链接：https://blog.youkuaiyun.com/firehive/article/details/86736050

ES 专栏收录该内容

4 篇文章

订阅专栏

本文探讨了如何通过排除特定的HTTP请求，如合作网站跳转及内部域名跳转，来优化流量分析。同时，文章介绍了如何匹配和聚合请求，以识别高频请求并决定是否屏蔽某些referrer。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、排除

1.排除合作网站跳转的请求，例如http://www.ranshao.com

2.排除公司域名之间跳转的请求，使用wildcard通配符匹配*.company.com

二、匹配

1.匹配存在值为http大头的http_referer

三、聚合

1. 根据request.keyword进行聚合

四、最后，如果查询到某个request存在大量请求，根据业务具体情况，再进一步判断求是否应该屏蔽某些http_referer的请求。

{
  "size": 0,
  "query": {
    "bool": {
      "must_not": [
        { 
          "match": {
            "http_referrer": "http://www.ranshao.com"
          }
        },
        { 
          "wildcard": {
            "http_referrer": {
              "value": "*.company.com"
            }
          }
        }
      ], 
      "must": [
        {
          "wildcard": {
            "http_referrer": {
              "value": "http*"
            }
          }
        },
        
        {
          "match": {
            "status.keyword": "200"
          }
        },

        {
          "range": {
            "@timestamp": {
              "gte": "2019-02-01T00:00:00.000000000+00:00",
              "lte": "2019-02-01T01:30:00.000000000+00:00"        
            }
          }
        }
      ]
    }
  },
    "aggs": {
    "cdn_huiyuan": {
      "terms": {
        "field": "request.keyword",
        "size": 100
      }
    }
  }
}