ラボ 8 - 膨大なデータからの発掘

LogReduce を使用すると、データに含まれる再帰的なシグネチャを特定して、膨大なデータから有意なメッセージを見つけ出すことができます。

1. データから「error」という単語を含むすべてのメッセージを検索します。そして [LogReduce] をクリックして、すべてのメッセージの要約ビューを表示します。

error | logreduce

2. 新しい検索で、Snort セキュリティ データに対して LogReduce を実行し、通常とは異なるアクティビティ (侵入) を特定します。

_sourceCategory=labs/snort

| logreduce

3. 結果をカウント別にソートして、1 回しか発生していないメッセージを特定します。count (1) をクリックして、通常とは異なるメッセージを表示します。その後、ホストをクリックして、その前後のメッセージを表示し、侵入の形跡を特定します。