如何阻止Packetbeat

Question

所以我正在对netflow流量进行数据可视化，我正在＆＃34; af模式＆＃34;中运行packetbeat。收集所有的netflow数据。

问题是我连接到带有packetbeat的盒子的IP是我想要忽略的。因为我知道它是什么，它只是在可视化中混乱。

我想忽略拥有此数据的所有流量：

＆＃34; dest.ip＆＃34; of＆lt; XYZ＆gt; 和 ＆＃34; source.ip＆＃34; of＆lt;运行packetbeat的服务器的IP＆gt;

我有＆＃34; packetbeat.ignore_outgoing：true＆＃34;在我的packetbeat.yml文件中设置。我在CentOS上运行它并将packetbeat数据直接输出到Logstash。

有没有办法做到这一点？

Answer 1

我最终做的是写一个Logstash过滤器。

 filter {
  if[type] == "flow" and [dest][ip] == "192.168.X.Y" and [packet_source][ip] == "192.168.Z.D" {
        drop { }
  }
}