Splunk:如何在防火墙日志中过滤源和目标 IP 地址

Question

假设我有以下内容：

源IP地址，10.1.1.1和192.168.1.1

目标 IP 地址172.16.1.1

搜索此组合的防火墙日志的正确语法是什么？

这是正确的语法吗？我试过了，但没有得到结果。我也尝试了不同的组合，但也没有用。

索引=防火墙 src_ip=10.1.1.1 或 src_ip=192.168.1.1 和 dest_ip=172.16.1.1

Answer 1

你很接近。 像在数学中使用括号一样，并记住布尔运算符必须是大写的。 试试这个：

index=firewall (src_ip=10.1.1.1 OR src_ip=192.168.1.1) AND dest_ip=172.16.1.1