New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« Iptables 模块 Kafka 模块 »
Elastic 文档 ›Filebeat 参考 [8.17] ›模块

Juniper 模块

编辑

Juniper 模块

编辑

是否优先为此用例使用 Elastic Agent？

请参考 Elastic Integrations 文档。

了解更多

Elastic Agent 是一种单一、统一的方式，可为主机添加日志、指标和其他类型数据的监控。它还可以保护主机免受安全威胁、查询操作系统中的数据、转发来自远程服务或硬件的数据等等。有关 Beats 和 Elastic Agent 的详细比较，请参考文档。

这是一个用于摄取来自不同 Juniper 产品数据的模块。目前支持以下文件集

  • srx 文件集：支持 Juniper SRX 日志

阅读快速入门，了解如何配置和运行模块。

配置模块

编辑

您可以通过在 modules.d/juniper.yml 文件中指定变量设置，或者在命令行覆盖设置，进一步优化 juniper 模块的行为。

您必须在模块中启用至少一个文件集。文件集默认情况下处于禁用状态。

变量设置

编辑

每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，juniper 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

当您在命令行指定设置时，请记住在设置前加上模块名称，例如 juniper.{fileset_ex}.var.paths 而不是 {fileset_ex}.var.paths。

此功能处于 Beta 版，可能会发生更改。其设计和代码不如正式 GA 功能成熟，按原样提供，不提供任何保证。Beta 功能不受正式 GA 功能的支持 SLA 约束。

srx 文件集设置

编辑

Juniper-SRX 模块仅支持格式为 “structured-data + brief” 的 syslog 消息。JunOS 文档 structured-data

要配置远程 syslog 目标，请参考 SRX 入门 - 配置系统日志。

支持以下进程和标签

JunOS 进程 JunOS 标签

RT_FLOW

RT_FLOW_SESSION_CREATE

RT_FLOW_SESSION_CLOSE

RT_FLOW_SESSION_DENY

APPTRACK_SESSION_CREATE

APPTRACK_SESSION_CLOSE

APPTRACK_SESSION_VOL_UPDATE

RT_IDS

RT_SCREEN_TCP

RT_SCREEN_UDP

RT_SCREEN_ICMP

RT_SCREEN_IP

RT_SCREEN_TCP_DST_IP

RT_SCREEN_TCP_SRC_IP

RT_UTM

WEBFILTER_URL_PERMITTED

WEBFILTER_URL_BLOCKED

AV_VIRUS_DETECTED_MT

CONTENT_FILTERING_BLOCKED_MT

ANTISPAM_SPAM_DETECTED_MT

RT_IDP

IDP_ATTACK_LOG_EVENT

IDP_APPDDOS_APP_STATE_EVENT

RT_AAMW

SRX_AAMW_ACTION_LOG

AAMW_MALWARE_EVENT_LOG

AAMW_HOST_INFECTED_EVENT_LOG

AAMW_ACTION_LOG

RT_SECINTEL

SECINTEL_ACTION_LOG

选择的 syslog 格式应为 Default。

兼容性

编辑

此模块已针对 JunOS 版本 19.x 和 20.x 进行了测试。预计更高版本也可以工作，但尚未经过测试。

- module: juniper
  junos:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9006
var.paths
一个基于 glob 的路径数组，用于指定查找日志文件的位置。此处还支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义级别的子目录中获取所有文件： /path/to/log/*/*.log。这将从 /path/to/log 的子文件夹中获取所有 .log 文件。它不会从 /path/to/log 文件夹本身获取日志文件。如果此设置为空，Filebeat 将根据您的操作系统选择日志路径。
var.input
要使用的输入，可以是值 tcp、 udp 或 file。
var.syslog_host
用于侦听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port
用于侦听 syslog 流量的端口。默认为 9006。

Juniper SRX ECS 字段

编辑

这是映射到 ECS 的 JunOS 字段列表。

Juniper SRX 字段 ECS 字段

application-risk

event.risk_score

bytes-from-client

source.bytes

bytes-from-server

destination.bytes

destination-interface-name

observer.egress.interface.name

destination-zone-name

observer.egress.zone

destination-address

destination.ip

destination-port

destination.port

dst_domainname

url.domain

elapsed-time

event.duration

filename

file.name

nat-destination-address

destination.nat.ip

nat-destination-port

destination.nat.port

nat-source-address

source.nat.ip

nat-source-port

source.nat.port

message

message

obj

url.path

packets-from-client

source.packets

packets-from-server

destination.packets

policy-name

rule.name

protocol

network.transport

source-address

source.ip

source-interface-name

observer.ingress.interface.name

source-port

source.port

source-zone-name

observer.ingress.zone

url

url.domain

字段

编辑

有关模块中每个字段的说明，请参阅导出的字段部分。

« Iptables 模块 Kafka 模块 »

On this page

Was this helpful?
Feedback