Besoin d'un script pour formater le journal PIX/ASA dans CSV

Question

Je travaille sur un projet pour analyser divers sur un serveur en CSV. Quelqu'un at-il un bon script perl ou une instruction gawk qui peut analyser un journal PIX/ASA standard en CSV ...

Merci.

Answer 1

J'ai aidé à écrire une analyse interne pour les journaux PIX/ASA que je ne peux pas partager. Nous voulions avoir des informations sur la source et la destination de tous les messages liés au trafic, par exemple. Nous avons fini par créer un module analysant chaque code de message individuellement. Un autre obstacle est que certaines informations telles que les noms de protocole et les déclarations name s'affichent sous la forme d'alias, et non de numéro ou d'adresse IP dans les journaux. Le module CPAN PIX :: Walker peut aider à résoudre ces problèmes.

Si tout ce que vous voulez est la gravité, le code et le message que vous pouvez utiliser:

#!/usr/bin/perl 

use strict; 

if (-e $ARGV[0]) { 
open(INFILE,$ARGV[0]); 
} else { 
die "Cannot open logfile $ARGV[0]\n"; 
} 

foreach my $line (<INFILE>) { 
chomp $line; 
if (/^%(ASA|PIX)-(\d{1})-(\d{6}): (.*)/) { 
    print "\"" . $1 . "\",\"" . $2 . "\",\"" . $3 . "\"\n"; 
} 
} 

Mais si c'est tout ce que vous voulez que je vous recommande d'utiliser syslog-ng et MySQL avec une config comme:

options { 
     long_hostnames(off); 
     sync(100); 
     stats(43200); 
     use_fqdn(no); 
     keep_hostname(yes); 
     owner (nglog); 
}; 

source udpsource { udp(ip(0.0.0.0) port(514));}; 

parser asa { 
csv-parser(colunms("ASA_SEV", "ASA_CODE", "ASA_TXT") 
flags(escape-none) 
delimiters("-:") 
); 
}; 

destination d_sql { 
    sql(type(mysql) 
    host("logserver") username("syslog-ng") password("password") 
    database("logs") 
    table("ASAlogs") 
    columns("datetime", "host", "severity", "code", "message") 
    values("$R_DATE", "$HOST", "$ASA_SEV", "$ASA_CODE", "$ASA_TXT") 
    indexes("datetime", "host", "severity", "code")); 
}; 

log { source{udpsource}; 
    log {parser(asa); destination(d_sql)}; 
}; 

De cette façon, c'est dans une base de données que vous pouvez exécuter des rapports. Vous pouvez également créer une interface web PHP ou Ruby on Rails très simple.