0
Я хочу отфильтровать «Новое имя процесса: C: \ Windows \ System32 \ notepad.exe» в logstash.Журнал событий Windows Фильтр Logstash и Elasticsearch не работает
Здесь журнал событий Windows, созданный OSSEC агентом
** Alert 1460299512.116024: - windows,authentication_success,
2016 Apr 10 16:45:12 (windows10) 192.168.0.17->WinEvtLog
Rule: 18107 (level 3) -> 'Process Creation.'
User: (no user)
2016 Apr 10 07:45:09 WinEvtLog: Security: AUDIT_SUCCESS(4688): Microsoft-Windows-Security-Auditing: (no user): no domain: DESKTOP-2D562R2: A new process has been created. Subject: Security ID: S-1-5-21-3956991881-1104172218-599705502-1001 Account Name: Localroot Account Domain: DESKTOP-2D562R2 Logon ID: 0x27c1e Process Information: New Process ID: 0x12a8 New Process Name: C:\Windows\System32\notepad.exe Token Elevation Type: %%1938 Creator Process ID: 0x1a0`enter code here`
Я использую этот фильтр в logstash
[email protected]:/etc/logstash/conf.d# cat all.conf
input {
# stdin{}
udp {
port => 9000
type => "syslog"
}
}
filter {
if [type] == "syslog" {
grok {
match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_host} %{DATA:syslog_program}: Alert Level: %{BASE10NUM:Alert_Level}; Rule: %{BASE10NUM:Rule} - %{GREEDYDATA:Description}; Location: %{GREEDYDATA:Details}" }
add_field => [ "ossec_server", "%{host}" ]
}
}
mutate {
remove_field => [ "syslog_hostname", "syslog_message", "syslog_pid", "message", "@version", "type", "host" ]
}
}
}
output {
elasticsearch {
hosts => ["192.168.0.30:9200"]
index => "ossec"
# protocol => http
}
stdout { codec => rubydebug }
}
Что это Конфигурация не делает, что бы вы хотели? –
В elasticsearch это выглядит следующим образом: «Описание»: «Создание процесса.», «Детали»: «(windows10) 192.168.0.17-> WinEvtLog; 2016 10 апреля 03:13:44 WinEvtLog: Безопасность: AUDIT_SUCCESS (4688): Microsoft-Windows-Security-Auditing: (нет пользователя): нет домена: DESKTOP-2D562R2: Создан новый процесс. Тема: Идентификатор безопасности: S-1-5-18 Имя учетной записи: DESKTOP-2D562R2 $ Домен учетной записи : WORKGROUP Идентификатор входа в систему: 0x3e7 Информация о процессе: Новый идентификатор процесса: 0x1798 Новое имя процесса: C: \ Windows \ SystemApps \ Microsoft.MicrosoftEdge_8wekyb3d8bbwe \ MicrosoftEdge.exe Тип отметки отметки: %% 1938 Идентификатор процесса разработчика: 0x2b8 ", – Olivier
Я хочу отдельное новое имя Procces, – Olivier