gravwell

说明

此插件允许将 DNS 审计直接集成到 Gravwell 中。该插件充当集成收集器，并且将 DNS 请求和响应直接发送到 Gravwell 实例。

DNS 请求和响应可以编码为文本、JSON 或打包的二进制格式。

语法

gravwell {
    Ingest-Secret IngestSecretToken
    Cleartext-Target 192.168.1.1:4023
    Tag dns
    Encoding json
    Log-Level INFO
    #Cleartext-Target 192.168.1.2:4023 #second indexer
    #Ciphertext-Target 192.168.1.1:4024
    #Insecure-Novalidate-TLS true #disable TLS certificate validation
    #Ingest-Cache-Path /tmp/coredns_ingest.cache #enable the local ingest cache
    #Max-Cache-Size-MB 1024
}

• Ingest-Secret 定义用于对索引器进行身份验证的令牌。需要 Ingest-Secret。
• Cleartext-Target 定义使用 TCP 连接的远程索引器的地址和端口。支持 IPv4 和 IPv6 地址以及主机名。
• Ciphertext-Target 定义使用 TLS 连接的远程索引器的地址和端口。支持 IPv4 和 IPv6 地址以及主机名。
• Tag 指定分配 DNS 审计日志的标记。可以是任何不包含特殊字符或空格的字母数字值。需要一个有效的 Tag 值。
• Encoding 指定传输的 DNS 审计日志的格式。选项是 json 或 text。默认值为 json。
• Insecure-Novalidate-TLS 切换 TLS 连接上的证书验证。默认情况下，验证处于开启状态。
• Log-Level 指定集成 gravwell 标记上的日志记录详细程度。选项有 OFF INFO WARN ERROR。默认值为 ERROR。
• Ingest-Cache-Path 为缓存系统指定一个文件路径，该系统在索引器连接丢失时启用。路径必须是可写文件的绝对路径。
• Max-Cache-Size-MB 以兆字节指定缓存文件最大大小。将其用作安全网。零值是默认值，表示无限制。

示例

没有本地缓存，通过 TCP 使用单个索引器

一个示例 Corefile，该文件通过未加密的连接将 DNS 请求发送到单个索引器。已禁用本地缓存。

gravwell {
    Ingest-Secret IngestSecretToken
    Cleartext-Target 192.168.1.1:4023
    Tag dns
  }

与两个索引器的 TLS 连接，并且不进行 TLS 验证

一个示例 Corefile，该文件通过 TLS 连接将 DNS 请求发送到两个索引器，并且接受未签名证书。对于 Cleartext 和 Ciphertext 目标，都支持 IPv4 和 IPv6 地址。IPv6 地址必须用方括号括起来。

gravwell {
    Ingest-Secret IngestSecretToken
    Ciphertext-Target 192.168.1.1:4024
    Ciphertext-Target [fe80::dead:beef:feed:febe%p1p1]:4024 #connecting to link local address via device p1p1
    Tag dns
    Encoding json
    Log-Level INFO
  }

与两个索引器的 TLS 连接，并且不进行 TLS 验证

一个示例 Corefile，该文件通过 TLS 连接将 DNS 请求发送到两个索引器，并且接受未签名证书。已禁用本地缓存。

gravwell {
    Ingest-Secret IngestSecretToken
    Ciphertext-Target 192.168.1.1:4024
    Ciphertext-Target [dead::beef]:4024
    Insecure-Novalidate-TLS true
    Tag dns
    Encoding json
    Log-Level INFO
  }

用于高可靠性操作的本地缓存

一个示例 Corefile，该文件将 DNS 请求发送到两个索引器，并且在索引器通信出现故障时启用本地缓存。本地缓存最多可存储 1GB 的数据。

gravwell {
    Ingest-Secret IngestSecretToken
    Cleartext-Target 192.168.1.1:4023
    Ciphertext-Target 192.168.1.2:4024
    Insecure-Novalidate-TLS true
    Ingest-Cache-Path /tmp/coredns_ingest.cache
    Max-Cache-Size-MB 1024
    Tag dns
    Encoding json
    Log-Level INFO
  }

另请参阅

开始使用 Gravwell 社区版 社区版许可证 摄取 API 和代码