ingest pipeline - 7th

sysmon 이벤트 22는 DNS 조회 및 응답 정보를 기록한다.

그리고 엘라스틱은 응답 정보 중 IP 정보(CNAME이 아닌 A레코드)만을 별도 필드로 추출해준다.

IP 정보의 활용도를 넓히는 방법은 지리 정보 매핑.

IP 정보에 매핑된 위경도 정보. 

'첫 번째 IP만 매핑'이 기본 동작 조건이기 때문에 지리 정보도 하나만 가져온다. 모든 IP의 지리 정보를 가져오고 싶다면 'First only' 옵션 체크 해제.

DNS 응답값은 대부분 같은 IP 대역이라 굳이?

관련 글

• ingest pipeline - 6th
• ingest pipeline
• Beat processors - 6th
• 엘라스틱의 해시 변환
• convert ip to decimal