Splunk：如何找到已被接受且SSH登錄失敗的匹配IP

Question

我有興趣在SSH日誌中查找所有被接受和失敗的ip地址的這一大批/ var/log/secure文件正在進行中。

如何編寫處理此問題的搜索查詢？

Answer 1

注：測試在Splunk的企業6.2.2對不住自己的CentOS 7 Linux服務器

我不承擔任何領域都該被提取。我的安全日誌爲成功登錄和失敗登錄提供了兩條不同的消息。他們是這樣的：

Mar 24 13:03:59 localhost sshd[3588]: Failed password for adrian from 172.20.255.111 port 4753 ssh2 
Mar 24 12:52:41 localhost sshd[2762]: Accepted password for adrian from 172.20.255.111 port 4656 ssh2 

有了這個，我想出了以下搜索：

source="*secure" process=sshd "password for" 
| rex field=_raw "(?<result>Accepted|Failed) password for (?<username>\w+) from (?<ipaddr>[0-9A-Fa-f:\.]+)" 
|eval success=if(result=="Failed",0,1) 
|stats count as total,sum(success) as success by ipaddr 
|where total!=success AND success!=0 

雷克斯確實實地extrations生成領域造成的，用戶名和IPADDR。如果結果字段未失敗，則成功字段爲1。由於正則表達式只接受接受值或失敗值，這意味着接受，但您可以更改您的環境的正則表達式來改變它。然後我做一個典型的統計數據，找出連接總數與成功連接不相同的地方，並且成功的連接數不爲零（以符合你的AND查詢）。