› ›

瞻博网络模块

瞻博网络模块编辑

这是一个用于从不同瞻博网络产品中提取数据的模块。目前支持以下文件集

阅读快速入门，了解如何配置和运行模块。

您可以通过在 modules.d/juniper.yml 文件中指定变量设置或在命令行中覆盖设置来进一步调整 juniper 模块的行为。

您必须在模块中启用至少一个文件集。 文件集默认情况下处于禁用状态。

每个文件集都有单独的变量设置来配置模块的行为。如果您没有指定变量设置，juniper 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。

在命令行中指定设置时，请记住在设置前加上模块名称，例如 juniper.{fileset_ex}.var.paths 而不是 {fileset_ex}.var.paths。

此功能处于测试阶段，可能会发生变化。设计和代码不如官方 GA 功能成熟，按现状提供，不提供任何担保。测试阶段的功能不受官方 GA 功能支持服务等级协议的约束。

瞻博网络 SRX 模块只支持格式为“结构化数据 + 简要信息”的 syslog 消息 JunOS 文档结构化数据

要配置远程 syslog 目标，请参考 SRX 入门 - 配置系统日志。

支持以下进程和标签

JunOS 进程	JunOS 标签
RT_FLOW	RT_FLOW_SESSION_CREATE
	RT_FLOW_SESSION_CLOSE
	RT_FLOW_SESSION_DENY
	APPTRACK_SESSION_CREATE
	APPTRACK_SESSION_CLOSE
	APPTRACK_SESSION_VOL_UPDATE
RT_IDS	RT_SCREEN_TCP
	RT_SCREEN_UDP
	RT_SCREEN_ICMP
	RT_SCREEN_IP
	RT_SCREEN_TCP_DST_IP
	RT_SCREEN_TCP_SRC_IP
RT_UTM	WEBFILTER_URL_PERMITTED
	WEBFILTER_URL_BLOCKED
	AV_VIRUS_DETECTED_MT
	CONTENT_FILTERING_BLOCKED_MT
	ANTISPAM_SPAM_DETECTED_MT
RT_IDP	IDP_ATTACK_LOG_EVENT
	IDP_APPDDOS_APP_STATE_EVENT
RT_AAMW	SRX_AAMW_ACTION_LOG
	AAMW_MALWARE_EVENT_LOG
	AAMW_HOST_INFECTED_EVENT_LOG
	AAMW_ACTION_LOG
RT_SECINTEL	SECINTEL_ACTION_LOG

选择的 syslog 格式应为 Default。

此模块已针对 JunOS 版本 19.x 和 20.x 进行测试。高于此版本的版本预计可以工作，但尚未经过测试。

- module: juniper
  junos:
    enabled: true
    var.input: udp
    var.syslog_host: 0.0.0.0
    var.syslog_port: 9006

var.paths: 一个基于 glob 的路径数组，指定查找日志文件的位置。这里支持 Go Glob 支持的所有模式。例如，您可以使用通配符从预定义的子目录级别获取所有文件：/path/to/log/*/*.log。这将获取 /path/to/log 的子文件夹中的所有 .log 文件。它不会获取 /path/to/log 文件夹本身的日志文件。如果此设置为空，Filebeat 将根据您的操作系统选择日志路径。
var.input: 要使用的输入，可以是 tcp、udp 或 file 值。
var.syslog_host: 用于监听所有 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port: 监听 syslog 流量的端口。默认为 9006。

这是一个映射到 ECS 的 JunOS 字段列表。

瞻博网络 SRX 字段	ECS 字段
application-risk	event.risk_score
bytes-from-client	source.bytes
bytes-from-server	destination.bytes
destination-interface-name	observer.egress.interface.name
destination-zone-name	observer.egress.zone
destination-address	destination.ip
destination-port	destination.port
dst_domainname	url.domain
elapsed-time	event.duration
filename	file.name
nat-destination-address	destination.nat.ip
nat-destination-port	destination.nat.port
nat-source-address	source.nat.ip
nat-source-port	source.nat.port
message	message
obj	url.path
packets-from-client	source.packets
packets-from-server	destination.packets
policy-name	rule.name
protocol	network.transport
source-address	source.ip
source-interface-name	observer.ingress.interface.name
source-port	source.port
source-zone-name	observer.ingress.zone
url	url.domain

有关模块中每个字段的描述，请参阅导出字段部分。