› ›

使用 GeoIP 信息丰富事件

使用 GeoIP 信息丰富事件编辑

您可以使用 Winlogbeat 以及 Elasticsearch 中的 GeoIP 处理器，根据 IP 地址导出地理位置信息。然后，您可以使用此信息在 Kibana 中在地图上可视化 IP 地址的位置。

geoip 处理器根据 Maxmind GeoLite2 城市数据库中的数据添加有关 IP 地址地理位置的信息。由于处理器使用安装在 Elasticsearch 上的 geoIP 数据库，因此您无需在运行 Winlogbeat 的机器上安装 geoIP 数据库。

如果您的用例涉及使用 Logstash，您可以使用 Logstash 中提供的 GeoIP 过滤器，而不是使用 geoip 处理器。但是，在您不需要 Logstash 的额外处理能力的情况下，使用 geoip 处理器是最简单的方法。

配置 `geoip` 处理器编辑

要配置 Winlogbeat 和 geoip 处理器

定义一个使用一个或多个 geoip 处理器来向事件添加位置信息的摄取管道。例如，您可以使用 Kibana 中的控制台创建以下管道

PUT _ingest/pipeline/geoip-info
{
  "description": "Add geoip info",
  "processors": [
    {
      "geoip": {
        "field": "client.ip",
        "target_field": "client.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "database_file": "GeoLite2-ASN.mmdb",
        "field": "client.ip",
        "target_field": "client.as",
        "properties": [
          "asn",
          "organization_name"
        ],
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "source.ip",
        "target_field": "source.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "database_file": "GeoLite2-ASN.mmdb",
        "field": "source.ip",
        "target_field": "source.as",
        "properties": [
          "asn",
          "organization_name"
        ],
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "destination.ip",
        "target_field": "destination.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "database_file": "GeoLite2-ASN.mmdb",
        "field": "destination.ip",
        "target_field": "destination.as",
        "properties": [
          "asn",
          "organization_name"
        ],
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "server.ip",
        "target_field": "server.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "database_file": "GeoLite2-ASN.mmdb",
        "field": "server.ip",
        "target_field": "server.as",
        "properties": [
          "asn",
          "organization_name"
        ],
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "host.ip",
        "target_field": "host.geo",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "server.as.asn",
        "target_field": "server.as.number",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "server.as.organization_name",
        "target_field": "server.as.organization.name",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "client.as.asn",
        "target_field": "client.as.number",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "client.as.organization_name",
        "target_field": "client.as.organization.name",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "source.as.asn",
        "target_field": "source.as.number",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "source.as.organization_name",
        "target_field": "source.as.organization.name",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "destination.as.asn",
        "target_field": "destination.as.number",
        "ignore_missing": true
      }
    },
    {
      "rename": {
        "field": "destination.as.organization_name",
        "target_field": "destination.as.organization.name",
        "ignore_missing": true
      }
    }
  ]
}

在此示例中，管道 ID 为 geoip-info。 field 指定包含用于地理查找的 IP 地址的字段，target_field 是将保存地理信息的字段。 "ignore_missing": true 配置管道在遇到没有指定字段的事件时继续处理。

有关更多选项，请参阅 GeoIP 处理器。

要了解有关将主机信息添加到事件的更多信息，请参阅 add_host_metadata。

在 Winlogbeat 配置文件中，配置 Elasticsearch 输出以使用管道。在 output.elasticsearch 下的 pipeline 选项中指定管道 ID。例如
```
output.elasticsearch:
  hosts: ["localhost:9200"]
  pipeline: geoip-info
```
运行 Winlogbeat。请记住，如果配置文件由 root 拥有，请使用 sudo。
```
./winlogbeat -e
```
如果查找成功，事件将用 geo_point 字段（如 client.geo.location 和 host.geo.location）进行丰富，您可以使用这些字段来填充 Kibana 中的可视化效果。

如果您添加了在索引模板中尚未定义为 geo_point 的字段，请添加映射以便该字段能够正确索引。

可视化位置编辑

要可视化 IP 地址的位置，您可以在 Kibana 中创建一个新的坐标地图，并将位置字段（例如 client.geo.location 或 host.geo.location）选择为 Geohash。

« 如何指南加载 Elasticsearch 索引模板 »

使用 GeoIP 信息丰富事件