Nxlog日志过滤
一般情况下nxlog只用于windows2008以及以上版本的日志转发(即使用im_msvistalog模式),实测08以下版本日志转发时出现乱码。
im_msvistalog使用以下字段
$raw_event (type: string)
包含$EventTime、$Hostname、$Severity、$EventID和$Message的字符串
$AccountName (type: string)
与事件关联的用户名。
$AccountType (type: string)
包含$EventTime、$Hostname、$Severity、$EventID和$Message的字符串
$ActivityID (type: string)
当前活动的全局惟一标识符，存储在EvtSystemActivityID中。
$Category (type: string)
从任务解析的类别名称。
$Channel (type: string)
事件源的通道 (例如，安全性或应用程序)。
$Domain (type: string)
用户的域名。
$EventID (type: integer)
EvtSystemEventID字段中的事件ID(特定于事件源)。
$EventTime (type: datetime)
EvtSystemTimeCreated 字段
$EventType (type: string)
事件的类型，它是一个描述严重性的字符串。这将从EvtSystemLevel转换为它的字符串表示形式。可能的值有:CRITICAL、ERROR、AUDIT_FAILURE、AUDIT_SUCCESS、INFO、WARNING和VERBOSE。
$EventXML (type: string)
XML格式的原始事件数据。如果模块的CaptureEventXML指令设置为TRUE，则此字段可用。
$ExecutionProcessID (type: integer)
事件生成器的进程标识符，如EvtSystemProcessID。
$Hostname (type: string)
EvtSystemComputer 字段.
$Keywords (type: string)
EvtSystemKeywords字段的值。
$Message (type: string)
事件的消息。
$Opcode (type: string)
从OpcodeValue解析的操作码字符串。
$OpcodeValue (type: integer)
事件在EvtSystemOpcode中的操作码号。
$ProviderGuid (type: string)
事件提供者的全局唯一标识符，存储在EvtSystemProviderGuid中。这对应于$SourceName字段中的提供者名称。
$RecordNumber (type: integer)
事件记录的数目。.
$RelatedActivityID (type: string)
存储在EvtSystemRelatedActivityID中的RelatedActivityID。
$Severity (type: string)
事件的标准化严重性名称。请参见$ SeverityValue。
$SeverityValue (type: integer)
事件的规范化严重程度编号，映射见表格。
$SourceName (type: string)
从EvtSystemProviderName字段生成事件的事件源。
$TaskValue (type: integer)
EvtSystemTask字段中的任务编号。
$ThreadID (type: integer)
事件生成器的线程标识符，如EvtSystemThreadID中所示。
$UserID (type: string)
安全标识符(SID)，解析为$AccountName，存储在EvtSystemUserID中。
$Version (type: integer)
事件在EvtSystemVersion中的版本号
表格
| Event Log Severity | Normalized Severity |
| 0/Audit Success | 2/INFO |
| 0/Audit Failure |
4/ERROR |
| 0/Audit Failure |
5/CRITICAL |
| 2/Error |
4/ERROR |
| 3/Warning | 3/WARNING |
| 4/Information | 2/INFO |
| 5/Verbose | 1/DEBUG |
常规nxlog.conf内容
## This is a sample configuration file. See the nxlog reference manual about the
## configuration options. It should be installed locally and is also available
## online at http://nxlog.org/docs/
## Please set the ROOT to the folder your nxlog was installed into,
## otherwise it will not start.
#define ROOT C:\Program Files\nxlog
define ROOT C:\Program Files (x86)\nxlog
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log
<Extension _syslog>
Module xm_syslog
</Extension>
<Input in>
Module im_msvistalog
# For windows 2003 and earlier use the following:
# Module im_mseventlog
</Input>
<Output out>
Module om_udp # 日志转发协议
Host 172.168.1.20 # 日志接收端IP
Port 514 # 接收端PORT
Exec to_syslog_snare();
</Output>
<Route 1>
Path in => out
</Route>
注:以下过滤方式只适用于Module im_msvistalog，nxlog配置就不介绍了，请在nxlog正常使用的情况下使用该文档操作
过滤操作:使用Exec if $xxx == xxx drop ();
通过指定regex来添加筛选器。NXLOG以NXLOG语言(在语法上与PERL非常相似)的形式提供了用户脚本功能。为了使用regex进行筛选，我们添加了一个Exec命令，它实际上逐行遍历输入并执行脚本。
例如：滤掉raw_event字段中提到“Read”的任何事件日志，并且只针对EventID 400，那么你可以执行以下操作:
Exec if $EventID == 400 and ( $Message =~ /Read/m ) drop ();例如：过滤掉包含dumpus.exe || nxlog.exe || java.exe || ...的任何事件日志，那么你可以执行以下操作:
Exec if $Message =~ /.dumpus\.exe?/ OR \
$Message =~ /java\.exe?/ OR \
$Message =~ /nxlog\.exe?/ drop();
其他条件可参照上文提供的字段编写规则进行操作。
参考：https://www.rexconsulting.net/applying-double-filters-nxlog-windows-event-logs.html
参考：https://www.rexconsulting.net/adding-additional-layer-filtering-nxlog.html
参考：https://nxlog.co/question/3469/how-forward-event-ids-specific-process-names