GeoIPを使って送信元アドレスの地理情報を可視化する
GeoIPというIPアドレスから地理情報を確認することができるサービスをご存知でしょうか。以前の記事で、Fluent,Elasticsearch,Kibanaを利用したVyOSのNetFlow監視の環境を構築したので、これを応用させてVyOSにアクセスしてくる端末の位置情報をGeoIPを使って、Kibanaに可視化していきたいと思います。
GeoIPの設定
GeoIPコンパイルに必要なパッケージをインストールする。
$ sudo apt-get install libgeoip-dev
fluent-plugin-geoidのインストール
$ sudo /opt/td-agent/embedded/bin/fluent-gem install fluent-plugin-geoip
Fluentdのconfファイルにgeoipタグの設定を書く
$ sudo vim /etc/td-agent/td-agent.conf
--省略--
<match geo.netflow.**>
type geoip
geoip_lookup_key ipv4_src_addr
<record>
geoip_country ${country_code['ipv4_src_addr']}
geoip_city ${city['ipv4_src_addr']}
geoip_lat ${latitude['ipv4_src_addr']}
geoip_lon ${longitude['ipv4_src_addr']}
geoip_pin ${latitude["ipv4_src_addr"]},${longitude["ipv4_src_addr"]}
</record>
remove_tag_prefix geo.
add_tag_prefix es.
skip_adding_null_record
</match>
<match es.netflow.**>
type elasticsearch
host localhost
port 9200
type_name netflow
logstash_format true
logstash_prefix flow
logstash_dateformat %Y%m%d
</match>
<source>
type netflow
tag geo.netflow.event
port 5141
versions [5, 9]
</source>
今までに受信したflowのIndexを削除(しなくても良い。すぐに有効化するため)
curl -XDELETE 'localhost:9200/flow-*'
受信するflowのIndexに"type" : "geo_point"のフォーマットを追加
$ curl -XPUT http://localhost:9200/_template/flow -d '
{
"template" : "flow-*",
"mappings" : {
"netflow" : {
"properties" : {
"@timestamp" : {
"type" : "date",
"format" : "dateOptionalTime"
},
"geoip_pin" : {
"type" : "geo_point"
}
}
}
}
}'
以上、fluend(td-agent)を再起動する
$ /etc/init.d/td-agent restart
動作確認
以下のコマンドでflow-yyyymmddのIndexフォーマットにgeoipのタグがあるか確認
$ curl -XGET 'localhost:9200/_mapping?pretty'
実際のIndexにgeoipのタグがあるか確認
$ curl "http://localhost:9200/flow-yyyymmdd/_search?pretty"
Kiabnaで確認
geoid_pinバーのVisualizeをクリックすれば、以下のように地理情報として可視化できる。
Author And Source
この問題について(GeoIPを使って送信元アドレスの地理情報を可視化する), 我々は、より多くの情報をここで見つけました https://qiita.com/shin-ch13/items/04a75489afc785cb658c著者帰属:元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .