ELK学习笔记之F5 DNS可视化让DNS运维更安全更高效-F5 ELK可视化方案系列(3)
0x00 概述 此文力求比较详细的解释DNS可视化所能带来的场景意义,无论是运维、还是DNS安全。建议仔细看完下图之后的大篇文字段落,希望能引发您的一些思考。 在“F 5利用Elastic stack(ELK)进行应用数据挖掘系列(2)-DNS ”一文中阐述了通过DNS logging profile进行DNS可视化的一种方法。DNS logging profile本身对解析和响应是发出的两条日志,因此在上篇文章中我们其实用了一些特殊的方法来处理一些我们想要的场景。所以这样的处理方式可能不够灵活,也不够优雅。通过logstash根据Query ID进行日志聚合后再处理也是一种思路,但是日志聚合本身这个动作需要仔细处理以防止聚合出错。同时即便使用了聚合,由于DNS logging profile输出的内容是固定的,因此在灵活性上依旧差那么一些。这篇文章则给大家提供了另一外一种形式的可视化。从通用性角度来说,更建议使用本篇文章中的方法,不受BIGIP DNS(GTM)版本及模块license类型的影响。 0x01 方法思路 iRule通过HSL输出必要的解析日志数据至elk 0x02 Dashboard与可视图分析 在整个dashboard中,划分了这样几个功能区域: 最上面的解析来源地理热力图,可以清晰的看出哪些地方是热点解析区域。热点解析区域,结合DNS TTL参考