Juniper 模块
编辑Juniper 模块
编辑这是一个用于摄取来自不同 Juniper 产品数据的模块。目前支持以下文件集
-
srx文件集：支持 Juniper SRX 日志
阅读快速入门，了解如何配置和运行模块。
配置模块
编辑您可以通过在 modules.d/juniper.yml 文件中指定变量设置，或者在命令行覆盖设置，进一步优化 juniper 模块的行为。
您必须在模块中启用至少一个文件集。文件集默认情况下处于禁用状态。
变量设置
编辑每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，juniper 模块将使用默认值。
对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。
当您在命令行指定设置时，请记住在设置前加上模块名称，例如 juniper.{fileset_ex}.var.paths 而不是 {fileset_ex}.var.paths。
此功能处于 Beta 版，可能会发生更改。其设计和代码不如正式 GA 功能成熟，按原样提供，不提供任何保证。Beta 功能不受正式 GA 功能的支持 SLA 约束。
srx 文件集设置
编辑Juniper-SRX 模块仅支持格式为 “structured-data + brief” 的 syslog 消息。JunOS 文档 structured-data
要配置远程 syslog 目标，请参考 SRX 入门 - 配置系统日志。
支持以下进程和标签
| JunOS 进程 | JunOS 标签 | |
|---|---|---|
RT_FLOW |
RT_FLOW_SESSION_CREATE |
|
RT_FLOW_SESSION_CLOSE |
||
RT_FLOW_SESSION_DENY |
||
APPTRACK_SESSION_CREATE |
||
APPTRACK_SESSION_CLOSE |
||
APPTRACK_SESSION_VOL_UPDATE |
||
RT_IDS |
RT_SCREEN_TCP |
|
RT_SCREEN_UDP |
||
RT_SCREEN_ICMP |
||
RT_SCREEN_IP |
||
RT_SCREEN_TCP_DST_IP |
||
RT_SCREEN_TCP_SRC_IP |
||
RT_UTM |
WEBFILTER_URL_PERMITTED |
|
WEBFILTER_URL_BLOCKED |
||
AV_VIRUS_DETECTED_MT |
||
CONTENT_FILTERING_BLOCKED_MT |
||
ANTISPAM_SPAM_DETECTED_MT |
||
RT_IDP |
IDP_ATTACK_LOG_EVENT |
|
IDP_APPDDOS_APP_STATE_EVENT |
||
RT_AAMW |
SRX_AAMW_ACTION_LOG |
|
AAMW_MALWARE_EVENT_LOG |
||
AAMW_HOST_INFECTED_EVENT_LOG |
||
AAMW_ACTION_LOG |
||
RT_SECINTEL |
SECINTEL_ACTION_LOG |
选择的 syslog 格式应为 Default。
兼容性
编辑此模块已针对 JunOS 版本 19.x 和 20.x 进行了测试。预计更高版本也可以工作，但尚未经过测试。
- module: juniper
junos:
enabled: true
var.input: udp
var.syslog_host: 0.0.0.0
var.syslog_port: 9006
-
var.paths - 一个基于 glob 的路径数组，用于指定查找日志文件的位置。此处还支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义级别的子目录中获取所有文件：
/path/to/log/*/*.log。这将从/path/to/log的子文件夹中获取所有.log文件。它不会从/path/to/log文件夹本身获取日志文件。如果此设置为空，Filebeat 将根据您的操作系统选择日志路径。 -
var.input - 要使用的输入，可以是值
tcp、udp或file。 -
var.syslog_host - 用于侦听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
-
var.syslog_port - 用于侦听 syslog 流量的端口。默认为 9006。
Juniper SRX ECS 字段
编辑这是映射到 ECS 的 JunOS 字段列表。
| Juniper SRX 字段 | ECS 字段 | |
|---|---|---|
application-risk |
event.risk_score |
|
bytes-from-client |
source.bytes |
|
bytes-from-server |
destination.bytes |
|
destination-interface-name |
observer.egress.interface.name |
|
destination-zone-name |
observer.egress.zone |
|
destination-address |
destination.ip |
|
destination-port |
destination.port |
|
dst_domainname |
url.domain |
|
elapsed-time |
event.duration |
|
filename |
file.name |
|
nat-destination-address |
destination.nat.ip |
|
nat-destination-port |
destination.nat.port |
|
nat-source-address |
source.nat.ip |
|
nat-source-port |
source.nat.port |
|
message |
message |
|
obj |
url.path |
|
packets-from-client |
source.packets |
|
packets-from-server |
destination.packets |
|
policy-name |
rule.name |
|
protocol |
network.transport |
|
source-address |
source.ip |
|
source-interface-name |
observer.ingress.interface.name |
|
source-port |
source.port |
|
source-zone-name |
observer.ingress.zone |
|
url |
url.domain |
字段
编辑有关模块中每个字段的说明，请参阅导出的字段部分。