Logging Zeek 输出至 Kafka 技术文档
以下是一份详细的技术文档,介绍了如何安装、使用以及配置Logging Zeek Output to Kafka项目。本文档涵盖以下部分:
- 安装指南
- 项目使用说明
- 项目API使用文档
- 项目安装方式
1. 安装指南
zkg
安装方式
zkg
是推荐的安装机制,因为它将动态检索、构建、测试并加载插件。请注意,在安装后,您仍需要激活和配置插件。
-
安装librdkafka,Kafka的原生客户端库。本插件经过对librdkafka v1.4.2版本的测试。
如果要在Kerberized Kafka环境中使用此插件,还需要安装
libsasl2
,并在configure
脚本中传递--enable-sasl
参数。$ curl -L https://github.com/edenhill/librdkafka/archive/v1.4.2.tar.gz | tar xvz $ cd librdkafka-1.4.2/ $ ./configure --enable-sasl $ make $ sudo make install
-
按照此处的快速入门指南配置
zkg
。 -
使用
zkg install
命令安装插件。$ zkg install apache/metron-bro-plugin-kafka --version master
-
运行以下命令以确保插件安装成功。
$ zeek -N Apache::Kafka
手动安装方式
只有在安装和配置zkg
不合理的情况下,才应手动安装插件。如果您运行的zeek环境没有Internet连接,请研究bundles或创建内部包源。
以下说明如果对您将此作为包(如deb或rpm)分发也可能有所帮助。
-
安装librdkafka,Kafka的原生客户端库。本插件经过对librdkafka v1.4.2版本的测试。
如果要在Kerberized Kafka环境中使用此插件,还需要安装
libsasl2
,并在configure
脚本中传递--enable-sasl
参数。$ curl -L https://github.com/edenhill/librdkafka/archive/v1.4.2.tar.gz | tar xvz $ cd librdkafka-1.4.2/ $ ./configure --enable-sasl $ make $ sudo make install
-
使用以下命令构建插件。
$ ./configure --with-librdkafka=$librdkafka_root $ make $ sudo make install
-
运行以下命令以确保插件安装成功。
$ zeek -N Apache::Kafka
2. 项目使用说明
以下示例展示了使用该插件的不同方式。只需将以下zeek脚本语言添加到您的local.zeek
文件中,以演示示例。
在运行Zeek集群时,强烈建议利用一个或多个Zeek日志记录器,如此处所示,以将日志活动与manager线程分离。
示例1 - 将日志列表发送到Kafka
此示例的目标是将所有HTTP和DNS记录发送到名为zeek
的Kafka主题。
@load packages/metron-bro-plugin-kafka/Apache/Kafka
redef Kafka::logs_to_send = set(HTTP::LOG, DNS::LOG);
redef Kafka::kafka_conf = table(
["metadata.broker.list"] = "server1.example.com:9092,server2.example.com:9092"
);
示例2 - 发送所有活动日志
此插件具有将所有活动日志发送到“zeek”Kafka主题的功能。
@load packages/metron-bro-plugin-kafka/Apache/Kafka
redef Kafka::send_all_active_logs = T;
redef Kafka::kafka_conf = table(
["metadata.broker.list"] = "localhost:9092"
);
示例3 - 发送所有活动日志与排除列表
您还可以指定一个黑名单,以确保某些日志不会被发送到Kafka,无论Kafka::send_all_active_logs
和Kafka::logs_to_send
配置如何。在此示例中,我们将发送除Conn日志之外的所有启用日志。
@load packages/metron-bro-plugin-kafka/Apache/Kafka
redef Kafka::send_all_active_logs = T;
redef Kafka::logs_to_exclude = set(Conn::LOG);
redef Kafka::topic_name = "zeek";
redef Kafka::kafka_conf = table(
["metadata.broker.list"] = "localhost:9092"
);
示例4 - 每个日志流发送到唯一主题
也可以将每个日志流发送到唯一命名的主题。在此示例中,将所有HTTP记录发送到名为http
的Kafka主题,将所有DNS记录发送到名为dns
的单独Kafka主题。
@load packages/metron-bro-plugin-kafka/Apache/Kafka
redef Kafka::topic_name = "";
redef Kafka::tag_json = T;
event zeek_init() &priority=-10
{
# 处理HTTP
local http_filter: Log::Filter = [
$name = "kafka-http",
$writer = Log::WRITER_KAFKAWRITER,
$config = table(
["metadata.broker.list"] = "localhost:9092"
),
$path = "http"
];
Log::add_filter(HTTP::LOG, http_filter);
# 处理DNS
local dns_filter: Log::Filter = [
$name = "kafka-dns",
$writer = Log::WRITER_KAFKAWRITER,
$config = table(
["metadata.broker.list"] = "localhost:9092"
),
$path = "dns"
];
Log::add_filter(DNS::LOG, dns_filter);
}
示例5 - Zeek日志过滤
您可能需要配置zeek以过滤掉具有特定特征的日志消息,使其不被发送到kafka主题。例如,Apache Metron目前不支持默认增强中的IPv6源或目标IP地址,因此从Kafka中过滤这些日志消息可能会有所帮助(尽管有多种方法可以解决这个问题)。在此示例中,我们将执行此操作,并假设以下标准zeek kafka插件配置:
- 所有zeek日志都发送到默认的
zeek
主题。 - 每个JSON消息都标记有相应的日志类型(例如
http
、dns
或conn
),通过将Kafka::tag_json
设置为true。 - 如果日志消息包含128字节长的源或目标IP地址,则该日志不会被发送到Kafka。
@load packages/metron-bro-plugin-kafka/Apache/Kafka
redef Kafka::tag_json = T;
event zeek_init() &priority=-10
{
# 处理HTTP
Log::add_filter(HTTP::LOG, [
$name = "kafka-http",
$writer = Log::WRITER_KAFKAWRITER,
$pred(rec: HTTP::Info) = { return ! (( |rec$id$orig_h| == 128 || |rec$id$resp_h| == 128 )); },
$config = table(
["metadata.broker.list"] = "localhost:9092"
)
]);
# 处理DNS
Log::add_filter(DNS::LOG, [
$name = "kafka-dns",
$writer = Log::WRITER_KAFKAWRITER,
$pred(rec: DNS::Info) = { return ! (( |rec$id$orig_h| == 128 || |rec$id$resp_h| == 128 )); },
$config = table(
["metadata.broker.list"] = "localhost:9092"
)
]);
# 处理Conn
Log::add_filter(Conn::LOG, [
$name = "kafka-conn",
$writer = Log::WRITER_KAFKAWRITER,
$pred(rec: Conn::Info) = { return ! (( |rec$id$orig_h| == 128 || |rec$id$resp_h| == 128 )); },
$config = table(
["metadata.broker.list"] = "localhost:9092"
)
]);
}
注意
logs_to_send
与$pred
互斥,因此对于每个要设置$pred
的日志,您必须单独设置Log::add_filter
,并避免将该日志包括在logs_to_send
中。- 可以使用
is_v6_addr()
函数在您的$pred
中识别IP地址是否为IPv6。 - 或者,如果您使用Apache Metron来拉取数据,您可以采取其他方法。
3. 项目API使用文档
本项目的API使用文档目前尚未提供。有关如何使用和配置项目的详细信息,请参考上述安装指南和项目使用说明。
4. 项目安装方式
项目的安装方式已在“安装指南”部分详细说明。您可以选择使用zkg
安装方式或手动安装方式。请根据您的环境和需求选择合适的安装方法。
- PDFMathTranslatePDF scientific paper translation with preserved formats - 基于 AI 完整保留排版的 PDF 文档全文双语翻译,支持 Google/DeepL/Ollama/OpenAI 等服务,提供 CLI/GUI/DockerPython03
- topiam-eiam开源IDaas/IAM平台,用于管理企业内员工账号、权限、身份认证、应用访问,帮助整合部署在本地或云端的内部办公系统、业务系统及三方 SaaS 系统的所有身份,实现一个账号打通所有应用的服务。Java00
- 每日精选项目🔥🔥 12.24日推荐:高性能 C 语言 UI 布局库🔥🔥 每日推荐行业内最新、增长最快的项目,快速了解行业最新热门项目动态~~017
- excelizehttps://github.com/xuri/excelize Excelize 是 Go 语言编写的一个用来操作 Office Excel 文档类库,基于 ECMA-376 OOXML 技术标准。可以使用它来读取、写入 XLSX 文件,相比较其他的开源类库,Excelize 支持操作带有数据透视表、切片器、图表与图片的 Excel 并支持向 Excel 中插入图片与创建简单图表,目前是 Go 开源项目中唯一支持复杂样式 XLSX 文件的类库,可应用于各类报表平台、云计算和边缘计算系统。Go02
- Cangjie-Examples本仓将收集和展示高质量的仓颉示例代码,欢迎大家投稿,让全世界看到您的妙趣设计,也让更多人通过您的编码理解和喜爱仓颉语言。Cangjie039
- 毕方Talon工具本工具是一个端到端的工具,用于项目的生成IR并自动进行缺陷检测。Python039
- advanced-javaAdvanced-Java是一个Java进阶教程,适合用于学习Java高级特性和编程技巧。特点:内容深入、实例丰富、适合进阶学习。JavaScript0102
- taro开放式跨端跨框架解决方案,支持使用 React/Vue/Nerv 等框架来开发微信/京东/百度/支付宝/字节跳动/ QQ 小程序/H5/React Native 等应用。 https://taro.zone/TypeScript010
- Yi-CoderYi Coder 编程模型,小而强大的编程助手HTML012
- CommunityCangjie-TPC(Third Party Components)仓颉编程语言三方库社区资源汇总05