Автоматический анализ логов фаервола

>Единственная просьба: не надо предлагать «копать в сторону...»

Тут таких не любят.

>То есть нужно составить список того, кто куда сколько раз подключался, и при этом отрезолвить по возможности эти адреса, чтобы не искать нслукапом соответствия вручную

Нереально. На одном ip может быть сотни имен, откуда ты узнаешь куда реально ходили? Только сквид.

отрезолвить по возможности эти адреса, чтобы не искать нслукапом соответствия вручную.

CNAME что такое ты не знаешь, верно?

>>если length - это длина пакета...представление о потраченном трафике в байтах.

Этот лог для этого не подходит

>>Думаю, что помочь мне может только приблизительный текст программы.

Я с удовольствием напишу тебе скрипт за деньги. В Job.

Бюджет ?

и почему не в job

Потому что сэр любит халяву и не любит

«копать в сторону...».

Почему бы просто не поставить squid сделать авторизацию пользователей и парсить его логи чем-то готовым?

Кстати, если length - это длина пакета, то в каких единицах, есть идеи? Они бывают совершенно произвольными.

Неужели бывает over 9000?

Я не прошу всех бросаться делать за меня мою работу, я лишь прошу внимания тех, для кого это может быть интересно. Им - интерес, мне - помощь в решении проблемы. И речь не идёт о тексте программы, а всего лишь о приблизительном алгоритме. Если вам неинтересно тратить на это время, совершенно ни к чему писать ненужные мне комментарии. Если интересно, пишите то, что мне может помочь. Если это неинтересно никому, я переживу, но решать за меня, люблю ли я халяву и куда мне обращаться, не стоит.
Что касается Сквида, то его надо было поднимать заранее, но у меня не хватало на это времени катастрофически, поэтому приходится пока пользоваться тем, что есть - интересуют подключения за уже ПРОШЕДШИЙ месяц. (Если интересно, это - лог Astaro Security Gateway. Одно из решений для тех, кому некогда ковырять всё руками.)
Впрочем, общую тенденцию я уже понял: тема неинтересная, так что закрываю её.

Тогда непонятно, в чем заключается вопрос. Приблизительный алгоритм - парсить строки на твоем любимом ЯВУ.

За мысль о cname спасибо. Я знаю о ней, но как-то заморочился и не подумал. Учту.

Приблизительный алгоритм, это:
5 шагов:
1) взять яблоко
2) идти прямо
3) повернуть направо
4) идти прямо
5) Положить яблоко

Моя просьба заключается в том, что указать, какими именно инструментами мне брать это самое яблоко. Например: Командой sort можно сделать то-то. И т.д. Слова «напишите программу» - это не алгоритм. Согласен, вопрос довольно расплывчатый, просто именно не хотел делать его более конкретным, чтобы не нарваться на обвинения в поиске халявы. Но всё-таки нарвался. Наверное, надо было подчеркнуть в первом посте то, что просьба принять участие исключительно желающих внести какой-то вклад, и вклад этот остаётся на усмотрение желающих.

Ну вот тебе лобовой алгоритм, который можно реализовать средствами шела, например:
1. Берем строку лога
2. Выделяем из нее интересующие srcIP, dstIP, action и lenght
3. Если action == accepted, дописываем в файл с именем"srcIP_dstIP" строку lenght
4. П.1, пока не кончится лог
5. На выходе имеем набор файлов srcIP_dstIP, для которых остается просуммировать строки(как вариант, суммировать сразу в п.3)
6. ...
7. profit

Только есть ли уверенность, что логируются все пакеты, а не только NEW?

М. Спасибо, попробуем. Единственно что: я не совсем хорошо представляю, какими именно командами это реализовывать :) Собственно, основная загвоздка именно в этом. Использовать для этого for ... do? Или как-то иначе? (напоминаю: я не программист. Совсем :)

Drevoborod> Единственно что: я не совсем хорошо представляю, какими именно командами это реализовывать :) Собственно, основная загвоздка именно в этом. Использовать для этого for ... do? Или как-то иначе? (напоминаю: я не программист. Совсем :)

Оперировать тоже легко:

1. Наркоз
2. Разрез
3. Зажать сосуды
4. Вырезать (не)нужное
5. Зашить
6. ...
7. Профит

Ну что, непрофессионал, возьмешься себя оперировать или обратишься к профессионалу, заплатив за нужную тебе работу?

Есть принципиальная разница. Ошибаться, разрезая людей, нельзя. А парся логи - сколько угодно, пока не научишься ;) Так что я научусь. Лично для себя мне это не надо, а заниматься тем, что уговаривать начальство кому-то заплатить, я не собираюсь. Это как-то неинтересно. И вообще, отставим философию. Есть конкретные мысли - милости просим, а для философствования есть флудотопики.

Чисто ради интереса и чтобы показать, что анализировать логи всё-таки проще, чем оперировать, я разберусь в этом вопросе. И, когда разберусь, выложу сюда решение. Разумеется, любая работа стоит денег. Так что я понимаю желание некоторых товарищей заработать. Но я повторяю, что готовое решение не прошу, прошу всего лишь указать мне путь. Да, чем подробнее, тем лучше, но это совсем не просьба написать всё за меня. Есть желание - помогайте, нет - забейте. Но коммерческих предложений делать не надо.