Splunk：如何在防火墙日志中过滤源和目标IP地址

Question

假设我有以下内容：

来源IP地址，10.1.1.1＆amp; 192.168.1.1

目标IP地址172.16.1.1

为此组合搜索防火墙日志的正确语法是什么？

这是正确的语法吗？我试了但是没有得到结果。我也尝试了不同的组合，但也没有用。

  

index = firewall src_ip = 10.1.1.1或src_ip = 192.168.1.1和   DEST_IP = 172.16.1.1

Answer 1

你很亲密。在数学中使用parens并记住布尔运算符必须是大写的。试试这个：

index=firewall (src_ip=10.1.1.1 OR src_ip=192.168.1.1) AND dest_ip=172.16.1.1