케세라세라: VIM 꼼수의 발견

2018년 8월 5일 일요일

VIM 꼼수의 발견 - 4th

'|' 기호를 이용해서 발생시간, 출발지, 목적지, 출발지포트, 목적지포트, 공격명, 원본로그 필드를 구분하는 로그가 있다.

자고로 로그는 테이블 구조에 욱여넣어서 분석해야 제 맛.

그런데 원본로그 필드가 둘로 나눠졌네?

로그를 다시 보니 OR 연산자로 사용된 '||' 기호가 확인된다. 결과적으로 원본로그가 3개 필드로 쪼개짐.

옛날 생각이 난다

처음 로그를 필드별로 쪼개려는 시도를 했을 때 사용했던 구분기호가 '|'. 그런데 해당 기호가 기존 로그에 이미 포함된 경우가 의외로 잦더라. '@', '#' 등으로 바꿔봐도 마찬가지.

미국이 만든 컴퓨터가 영문 키보드 배열에서 가능한 조합으로 로그를 기록하니 생기는 당연한 결과. 중복되지 않는 구분기호를 찾아 고민했었는데 의외로 해결책은 간단했다. 한글 자음 'ㅋ'으로 해결. 문득 영어권에서는 IDS 로그 어떻게 분석하나 궁금해지더라.

수동으로 로그를 읽는 작업은 지옥에서 천벌을 받을 때나 하는 작업 - 실전 로그 분석과 체계적인 관리 가이드 (181페이지)

저런 얘기 하는 거 보면 안 봐도 비디오긴 하다만, 결론은 세종대왕님 만세. 해당 로그 역시 VIM 치환 명령어 '%s/|/ㅋ/'을 이용해서 다음처럼 구분기호로 사용된 '|'만을 'ㅋ'으로 바꾸면 된다. 다행히 구분기호가 연속된 '|' 기호 6개이니 해당 명령 6번만 반복하면 됨.