【Graylog】通过Pipelines在Graylog生成IP地理位置信息

序

在当今数字化时代，随着网络攻击的不断增加和全球化的用户活动，了解IP地址的地理位置信息变得越来越重要。对于网络安全和营销策略来说，掌握IP地址的地理信息可以带来许多好处。

接下里将介绍如何通过Graylog的Pipelines功能，在日志管理平台Graylog中生成IP地址的地理位置信息。Graylog作为一个强大的日志分析工具，不仅可以帮助我们收集和分析日志数据，而且通过Pipelines功能，还可以对日志进行处理和增强。

操作步骤

1. 获取 GeoIP 数据库文件：首先，需要获取 GeoIP 数据库文件，这些文件包含了 IP 地址与地理位置的映射信息。可以从 MaxMind 或其他提供商获取这些文件。然后将数据库文件上传到服务器上，本例中保存位置为：/usr/share/graylog/data/config/GeoLite2/GeoLite2-City.mmdb
   https://www.maxmind.com/ 免费注册并下载
   

2. 接下来，在 System -> Lookup Tables 下找到“Data Adapters”，在页面上，选择 “Create data adapter”，并填写如下所示的信息：
   

3. 下一步，使用如下所示在Cache下，点击“Create cache”按钮创建一个新缓存：
   

4. 在 Lookup Table 的最后一步中，我们需要使用之前两个步骤创建的Data Adapter 和Cache 来创建Lookup Table
   

5. 现在Lookup Table已经创建好了，并可以使用了，然后需要创建一个Pipeline规则来利用它，并在每条带有 IP 地址的消息中添加元数据。

前往（System -> Pipelines），在“Manage rules”下创建一个新规则。给它一个描述，以便记住它，在“Rule Source”中放入以下内容：

rule "GeoIP lookup: nf_src_address"
when
 has_field("nf_ipv4_src_addr")
then
 let geo = lookup("GeoLite2-City", to_string($message.nf_ipv4_src_addr));
 set_field("nf_src_addr_geo_location", geo["coordinates"]);
 set_field("nf_src_addr_geo_country", geo["country"].iso_code);
 set_field("nf_src_addr_geo_city", geo["city"].names.en);
end

• 此规则仅适用于nf_ipv4_src_addr。如果还需要查找目标地址，可以在此规则中添加额外的行，或者为带有目标 IP 地址的日志创建第二个规则。
  ?![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/cdddc716e62c4b84a4eb7d246a6e0e54.png

7. 在创建Rules之后，需要将把它添加到处理带有 IP 地址的日志的Pipeline中的一个阶段中，然后处理将开始运行。
   
8. 最后一旦新的日志通过管道，您将看到日志条目里面就新增了nf_src_addr_geo_location / nf_src_addr_geo_country。

最后理论上，只要在“nf_src_addr_geo_location”上运行搜索聚合，并将表格类型更改为“World Map”，将会得到类似以下截图：
但在测试环境里面打不开open street map，暂时还没去研究为什么打不开，有解决办法的可以告知。