PIX2DLF.IN(1) LogReport's Lire Documentation PIX2DLF.IN(1)

pix2dlf - تبدیل لاگ‌های PIX به قالب DLF فایروال

pix2dlf

این اسکریپت لاگ‌هایی از نوع syslog را از یک فایروال Cisco PIX در stdin انتظار دارد. پیام‌هایی با سطح اهمیت informational (۶) و بالاتر باید ثبت شوند. این پیام‌ها به‌عنوان نمونه به این صورت هستند:

Jan 15 12:58:37 pix1 %PIX-4-106543: Deny tcp src outside:1.2.3.4/1234 dst
 inside:2.3.4.5/80 by access-group "foo"
Jan 16 10:37:09 pix1 %PIX-4-106543: Deny udp src outside:3.4.5.6/137 dst
 inside:4.5.6.7/137 by access-group "foo"
Jan 17 08:43:46 pix1 %PIX-4-106543: Deny icmp src outside:5.6.7.8 dst
 inside:6.7.8.9 (type 8, code 0) by access-group "foo"
Jan 24 00:07:39 pix1 %PIX-6-302000: Teardown TCP connection 178359 faddr
 7.8.9.10/102 gaddr 8.9.10.11/21652 laddr 9.10.11.12/4107 duration
 0:00:01 bytes 755 (TCP FINs)
Jan 24 00:07:45 pix1 %PIX-6-302000: Teardown UDP connection for faddr
 10.11.12.13/711 gaddr 11.12.13.14/1259 laddr 12.13.14.15/1259

به این صورت:

syslog_time_stamp log_host %PIX-Level-Message_number: Message_text

همچنین ببینید: http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_62/syslog/pixemint.htm#xtocid11

این اسکریپت رکوردهای DLF را در قالب DLF فایروال Lire روی STDOUT خروجی می‌دهد.

در حال حاضر، تنها پیام‌های:

%PIX-2-106001
%PIX-2-106002
%PIX-2-106006
%PIX-2-106007
%PIX-3-106010
%PIX-3-106014
%PIX-6-106015
%PIX-1-106021
%PIX-4-106023
%PIX-6-302002
%PIX-6-302006
%PIX-6-302014
%PIX-6-302016

استفاده می‌شوند. توجه داشته باشید که سطح اهمیت ۱ معادل `alert' و ۶ معادل `informational' است. (۰ معادل `emergency' و ۷ معادل `debugging' است.)

برای پردازش لاگی که توسط یک Cisco PIX تولید شده است:

$ pix2dlf < pix.log

دستور pix2dlf به‌ندرت به‌تنهایی استفاده می‌شود، بلکه به احتمال زیاد توسط lr_log2report فراخوانی می‌گردد:

$ lr_log2report pix < /var/log/pix.log

این اسکریپت هنوز با طیف گسترده‌ای از فایل‌های لاگ آزمایش نشده است و بنابراین هنوز به بلوغ کافی نرسیده است.

مطالعهٔ مستندات Cisco برای بررسی تغییرات احتمالی در قالب فایل لاگ، به‌عنوان مثال میان نگارش‌های 4.0 و 6.2 فایروال PIX، هنوز انجام نشده است.

احتمالاً ما از هیچ‌یک از محصولات PIX به‌طور کاملاً جامع پشتیبانی نمی‌کنیم. ما مستندات مربوط به فایل‌های لاگ نگارش‌های 4.3، 4.4، 5.0، 5.1، 5.2، 5.3، 6.0، 6.1 و 6.2 فایروال PIX را یافته‌ایم، اما هنوز همهٔ جزئیات و رفتارهای خاص ذکرشده در این اسناد را پیاده‌سازی نکرده‌ایم. این اسکریپت تلاش می‌کند از PIX 6.2 در بیشتر موارد معمول پشتیبانی کند.

هنگام دستکاری و توسعهٔ این اسکریپت، به یاد داشته باشید که نحو (syntax) لاگ‌ها در طول توسعهٔ PIX تغییر کرده است. افزون بر این، توجه داشته باشید که برخی از وضعیت‌های ابتدایی (state) در لاگ‌های PIX نشان داده می‌شوند. این وضعیت‌ها هنوز در این اسکریپت استفاده نمی‌شوند.

“Cisco PIX Firewall System Log Messages”

http://www.cisco.com/univercd/cc/td/doc/product/iaabu/pix/pix_62/syslog/pixemsgs.htm

$Id: pix2dlf.in,v 1.26 2009/03/15 08:10:55 vanbaal Exp $

حق نشر (C) ۲۰۰۲ بنیاد Stichting LogReport Foundation <logreport@logreport.org>

این فایل بخشی از Lire است.

نرم‌افزار Lire یک نرم‌افزار آزاد است؛ شما می‌توانید آن را تحت شرایط «پروانه عمومی همگانی گنو» (GNU GPL) همان‌طور که توسط بنیاد نرم‌افزارهای آزاد منتشر شده است؛ چه نگارش ۲ پروانه و چه (به انتخاب خودتان) هر نگارش بالاتر دیگری، بازنشر دهید و/یا تغییر دهید.

این برنامه با این امید توزیع شده است که مفید واقع شود، اما بدون هرگونه ضمانت؛ حتی بدون ضمانت ضمنی قابل فروش بودن یا مناسب بودن برای یک هدف خاص. برای جزئیات بیشتر به «پروانه عمومی همگانی گنو» مراجعه کنید.

شما باید همراه با این برنامه نسخه‌ای از پروانه عمومی همگانی گنو را دریافت کرده باشید (فایل COPYING را ببینید)؛ در غیر این صورت، به http://www.gnu.org/copyleft/gpl.html مراجعه کنید.

از Roberto dal Zilio و Ketil Adolfsen، برای تهیهٔ لاگ‌های PIX جهت اشکال‌زدایی. از Anthony (acquant) برای رفع باگ‌ها.

نگارش اولیه توسط Wessel Dankers <wsl@logreport.org> بر پایهٔ اسکریپت cisco_acl2dlf متعلق به Lire نوشته شده است. تغییرات بعدی فراوانی توسط Joost van Baal <joostvb@logreport.org> انجام گرفته است.

2025-09-28 Lire 2.1.1