2018년 12월 3일 월요일

Query DSL 맛보기

Elasticsearch에서 원하는 데이터만 삭제하고 싶을 때는 원하는 데이터만 골라주는 쿼리문을 작성해야 하는데, 이때 JSON 기반의 쿼리문을 사용한다. Query DSL(Domain Specific Language)이라고 하는데 써놓고 보면 별거 없음. 영어 약자로 쓰면 있어보이는 거 부럽 간단히 얘기하면 {}를 이용해서 계층을 구분하는 쿼리문.

다음은 message 필드값이 'this is a test'인 데이터를 조회하는 'query - match - 필드명' 구조의 쿼리문.


2018년 11월 30일 금요일

Elasticsearch 플래티넘 기능 사용하기

6.3 버전부터 X-Pack 기능이 아예 통합된 건 다들 아실테고, 'Management > License Management' 메뉴에서 'Start trial' 버튼을 클릭하면 해당 기능을 30일간 제한없이 사용할 수 있다. 물론 라이센스 있으면 업데이트 하면 되고.


2018년 11월 15일 목요일

Packetbeat 활용 - 2nd

실시간 모니터링 말고 파일로 저장된 트래픽도 분석할 수 있을까? 당연히 된다. pcap 파일 리플레이를 할 수 있다는 얘기. Winlogbeat도 파일 접근할 수 있게 해줘요


2018년 11월 14일 수요일

Packetbeat 활용

가끔 Packetbeat 사용법을 물어보는 분들이 계시는데, 계속 안써봤다고 답하기 궁색해서 써봄(..) 이름처럼 Packetbeat는 트래픽 데이터 전송 에이전트 역할을 한다. 우선 설정부터 살펴보자.

Network device


2018년 11월 7일 수요일

yml? yaml?

엘라스틱 스택의 주요 설정 파일들은 대부분 yml 확장자를 갖는다. 이게 뭔가 싶었는데 데이터 직렬화 양식인 YAML을 줄인 거라고. 응? 데이터 직렬 뭐? 읽기 편한 구조를 가지고 있어서 설정 파일 형식으로 많이 쓰인다나.

그런데 이게 읽기 쉬운 구조인 건 알겠는데 문법에 대한 이해 없이 리눅스 설정하듯 쓰면 되겠거니 하다가는 낭패보기 십상이다. 다음은 logstash.yml 설정 구조.

같은 의미, 다른 표현

2018년 10월 31일 수요일

Logstash service 권한 문제 - 2nd

file 및 filebeat 입력 플러그인 테스트. 출력 설정에서 'beat' 필드 존재 여부에 따라 인덱스명을 따로 준 이유는, 입력 플러그인에 따라 필드 구조가 달라져서 같은 인덱스명을 사용하면 둘 중 하나는 데이터 저장 실패. Schemaless라더니 은근 까다롭다. -_-


2018년 10월 18일 목요일

(경) MySQL 전방탐색 지원 (축)

MySQL은 POSIX 기반 정규표현식을 지원한다. 전방탐색 등의 고오급 기능을 지원하지 않는다는 얘기. 그래서 문제 발생. 다음은 SNORT DB에서 특정 탐지로그를 발생시킨 패킷 페이로드 조회 결과.


크리에이티브 커먼즈 라이선스