Splunk의 timestamp

스플렁크는 datetime.xml을 이용해서 데이터의 timestamp 정보를 가져온다.

IP 주소를 검사하는 정규표현식

Filebeat의 processors - 4th

filebeat를 이용한 시간 정보 처리 설정.

processors:
  - timestamp:
      field: timestamp
      layouts:
        - '2006-01-02 15:04:05'

composable template forbids index auto creation

로그스태시의 동적 매핑을 사용하면 키워드 필드의 ignore_above 값이 256으로 고정된다.

{
  "test": {
    "aliases": {},
    "mappings": {
      "properties": {
        "message": {
          "type": "text",
          "fields": {
            "keyword": {
              "type": "keyword",
              "ignore_above": 256

Splunk 대시보드 - 2nd

대시보드 차트에서 IP 조건 검색을 하고 싶다.

Splunk 대시보드

엘라스틱은 대시보드 전체 차트가 하나의 시간 선택기를 공유하며, 임의 차트의 특정 시간 범위를 마우스 클릭(또는 드래그)을 통해 전체 차트에 적용할 수도 있다.

Filebeat의 processors - 3rd

프로토콜별로 불필요한 필드는 지우고 싶다.

processors:
  - include_fields:
      fields: "message"
  - dissect:
      tokenizer: "%{timestamp} %{+timestamp} %{action} %{protocol} %{sip} %{dip} %{sport} %{dport} %{tcpflags} %{icmptype} %{icmpcode}"
      target_prefix: ""