应急响应—日志分析工具

1. 工具提供
2. 日志提取工具
3. 日志分析工具
4. 总结

1. 工具提供

所有工具关注公众号“剁椒鱼头没剁椒”回复“应急响应”获取，不过需要注意的是，有的工具下载下来会报毒哦！

2. 日志提取工具

日志提取工具以方便系统监控、故障排查和性能优化等方面进行关键信息分析和处理的。这些工具可以处理不同类型的数据源，包括日志文件、数据库和事件日志等。它们具备多种功能，如关键词匹配，可以根据用户定义的关键词从日志文件中提取与之相关的信息。用户可以指定关键词的匹配规则，如精确匹配、模糊匹配或正则表达式匹配，以满足不同的需求。

2.1. 七牛Logkit

logkit-community（社区版）是七牛智能日志管理平台开发的一个配套的日志收集工具，支持海量的数据源，方便地发送到七牛智能日志管理平台以及其他常见的数据存储服务进行分析，同时也，除了基本的数据发送功能，logkit还有容错、并发、监控、删除等功能。

2.1.1. 优点

GO 语言编写，性能优良，资源消耗低，跨平台支持。
Web 支持，提供页面对数据收集、解析、发送过程可视化
插件式架构，扩展性强，使用灵活，易于复用。
定制化能力强，可以仅使用部分 logkit 包，以此定制专属收集工具。
配置简单，易于上手，可通过页面进行操作管理。
原生中文支持，没有汉化烦恼。
功能全面，涵盖了包括 grok 解析、metric 收集、字段变化 (transform) 在内的多种开源软件特点。
生态全面，数据发送到七牛的 Pandora 大数据平台支持包括时序数据库、日志检索以及压缩永久存储等多种数据落地方案。
数据收集安全稳定，拥有磁盘队列、内存队列、错误重试、压缩传输、限速限流等多种机制，数据发送不重不漏。
集群化，可以通过一个logkit 作为master 在 web 管理众多logkit，对整体集群进行管理。

2.1.2. 支持类型

系统支持：Windows、Linux、mac。
File: 读取文件中的日志数据，包括csv格式的文件，kafka-rest日志文件，nginx日志文件等,并支持以grok的方式解析日志。
Elasticsearch: 读取ElasticSearch中的数据。
MongoDB: 读取MongoDB中的数据。
MySQL: 读取MySQL中的数据。
MicroSoft SQL Server: 读取Microsoft SQL Server中的数据。
Postgre SQL: 读取 PostgreSQL 中的数据。
Kafka: 读取Kafka中的数据。
Redis: 读取Redis中的数据。
Socket: 读取tcp\udp\unixsocket协议中的数据。
Http: 作为 http 服务端，接受 POST 请求发送过来的数据。
Script: 支持执行脚本，并获得执行结果中的数据。
Snmp: 主动抓取 Snmp 服务中的数据。

2.1.3. 下载地址

使用方式在官方我文本介绍中均有，这里就不再赘述。

七牛Logkit

2.1.4. 使用方式

这里我下载的是Windows系统，直接解压完后进入文件夹中，首先配置相关参数，如果你不想配置，默认也可以。

2.1.4.1. 修改配置

logkit.conf是logkit-community工具基础配置文件，主要用于指定logkit-community运行时需要的资源和各个runner配置文件的具体路径。

打开 logkit.conf, 典型的配置如下：

{
    "max_procs": 8,
    "debug_level": 1,
    "clean_self_log":true,
    "bind_host":"localhost:3000",
    "static_root_path":"./public",
    "confs_path": ["confs*"]
}

初步使用，您只需要关注并根据实际需要修改其中三个选项：

bind_host logkit页面绑定的端口号，启动后可以根据这个页面配置logkit。
static_root_path logkit页面的静态资源路径，强烈建议写成绝对路径 注意：老版本的移动到了 "public-old"文件夹。
confs_path 除了通过页面配置添加以外，logkit还支持直接监控文件夹添加runner。（如果您只通过页面添加logkit runner，那么无需修改此配置）

列表中的每一项都是一个runner的配置文件夹，如果每一项中文件夹下配置发生增加、减少或者变更，logkit会相应的增加、减少或者变更runner，配置文件夹中的每个配置文件都代表了一个runner。该指定了一个runner的配置文件夹，这个配置文件夹下面每个以.conf结尾的文件就代表了一个运行的runner，也就代表了一个logkit正在运行的推送数据的线程。