IT运维：使用数据分析平台监控奇安信

监控目标

本文基于鸿鹄2.10.0版本。

●监控奇安信日志类型分布
●监控奇安信攻击行为、分析攻击类型
●监控奇安信攻击来源情况

操作步骤

数据导入

1、创建数据集，如使用已经存在的数据集，可跳过此步骤

数据集名称：qax_syslog（仪表板中使用的名称，如更改为其他，需要在导入仪表板后调整SQL语句中的数据集）

2、创建数据源类型，如使用已经存在的数据集，可跳过此步骤

数据源类型：qax_syslog

TIPs:数据源类型用于对具有统一类型属性的数据进行集合处理。鸿鹄提供了多种内置的数据源类型，例如syslog, json, csv等。如果您的数据处理需要配置自定义的字段抽取规则，建议先创建新的数据源类型，再将字段抽取规则绑定到相应的数据源类型。

3、配置vector.toml。vector安装参考[vector安装]（https://vector.dev/docs/setup/quickstart/#install-vector）

._datatype = "qax_syslog" 数据源类型名称

._target_table = "qax_syslog" 数据集名称

address = "172.16.1.5:20000"

字段抽取

字段抽取这里用到的就是读时建模。数据以原始数据进入鸿鹄鸿鹄平台，在需要分析时，进行数据建模。

日志分析

在字段抽取前，我们需要先查看下原始日志，对其进行分析

通过查询可以看到原始日志格式如下

对其进行分析发现日志由两个部分组成，那么我们需要先通过正则将两个部分分开，再对第一部分采用正则抽取，第二部分采用json抽取。

第一部分

第二部分

TIPS：如何验证json格式，可以在线网站验证[Json在线验证]（https://www.bejson.com/explore/index_new/）

字段抽取

抽取新字段

选择目标数据类型，选择样例事件

新建抽取规则>编辑正则表达式

可以看到我们将两部分日志分离，第二部分为json_content

继续新建抽取规则>选中json_content>选择JSON抽取

预览并保存，完成抽取

仪表板

导入奇安信仪表板。新建仪表板>选择仪表板配置文件>确定

奇安信日志分为3类，webids-ids_dolog、alarm、webids-webattack_dolog，这里使用了钻取，点击奇安信日志类型分布，下面的所有图表会根据日志类型自动适配。

效果如下：

奇安信仪表板.json(12 kB)

（具体文档请加入鸿鹄技术交流群，至知识库中获取）