Yo soy de ninguna manera un programador, pero me encantaría aprender. Problema es que tienen un problema real que requiere una secuencia de comandos lo antes posible.

Tengo que escribir un script que puede analizar un logfile y tire única dirección IP de la columna de dirección de origen y crear un archivo con el nombre de la dirección IP como el nombre del archivo. Entonces, cuando una dirección IP de destino coincide con la dirección de la fuente de un archivo único que se agrega la dirección de destino y el puerto a ese archivo.

Entonces, ¿qué im tratando de hacer es crear un archivo para cada equipo infectado y añadir dentro de ese archivo todos los hosts que están tratando de infectar.

Aquí está un fragmento de la ficha.

-------------------------------------------------- ---------------------
2007-08-30 11:31:52, Syslog.Info, 10.254.5.164, "26838: Aug 30 11:31:50:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.5.167.246 (4086) -> 10,184 .232.130 (1433), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 10.254.6.24, "432042: pik-router: Aug 30 11:31:52:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.253.220.42 (1509 ) -> 10.25.50.154 (1433), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 10.254.3.176, "492962: LCO-router: Aug 30 11:31:52:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.3.179.232 (2661 ) -> 10.45.253.12 (1433), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 10.254.5.240, "4841:. Agosto 30 11:31:52:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.253.218.171 (1532) -> 10.246.248.36 (1433), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 10.254.5.240, "4842:. Agosto 30 11:31:53:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.253.218.171 (1564) -> 10.25.5.144 (1433), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 172.20.7.13, "495539: BA2-router: Aug 30 11:31:52:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.253.221.172 (2346 ) -> 10.30.165.137 (445), 1 paquete de "
2007-08-30 11:31:52, Syslog.Info, 10.254.0.244, "473266: nac-router: Aug 30 11:31:52:% SEC-6-IPACCESSLOGP: lista de 199 negado tcp 10.0.247.183 (3230 ) -> 10.155.217.188 (1433), 1 paquete de "

no asuma que todos sabemos la estructura de su archivo de registro ....
¿cuál es la fuente y cuál es la dirección de destino en la muestra dada?
envió una muestra de registro, ¿cuál es la salida deseada?

Lo sentimos buen punto.

Después de la "lista 199 denegado" la primera dirección IP es la fuente y el 2 º es la dirección IP de destino.

la salida es importante en busca de un archivo creado para cada uno "fuente" y añadir a un archivo que de cada destino que coincida con cada fuente única.

Hasta el momento, he llegado a esto, pero no su trabajo.

#! / bin / ksh
PATH \u003d $ PATH
vDIR_OUT \u003d / cygdrive / c / tmp
vLOG_OUT \u003d $ vDIR_OUT () / ipmon.out
vSYSLOG \u003d / cygdrive / v / Routers.txt
vSYSLOG_OUT \u003d $ vDIR_OUT () / syslog.log.new
vCOUNTER_FILE \u003d $ vDIR_OUT () / counter.out

export PATH vDIR_OUT vLOG_OUT vSYSLOG_OUT vCOUNTER_FILE FINAL


#############################################
# # Crear un contador para obtener sólo los nuevos
# # Las líneas de la syslog.log.
#############################################

# print "\ nStarting contra, por favor, sea paciente ... \ n"

# FINAL \u003d $ (cat $ vCOUNTER_FILE ())
# tipografiada PRINCIPIO-i \u003d 0
#
cat $ (#) vSYSLOG | while read vLINE
# haga
# ((\u003d INICIO INICIO +1))
# if [[$ (INICIO)-gt $ (FINAL)]]
entonces #
# # print "$ () vLINE"
# fi
# hacer> "$ () vSYSLOG_OUT"
# print "$ (INICIO)" #> "$ () vCOUNTER_FILE"

#################################
# # Ahora recopilar nuevos datos en
# # Una carpeta para cada dirección IP.
#################################

awk '/ tcp / & &! / awk / (printf ( "% s% s \ n", $ (NF-4), $ (NF-2)))' $ () vSYSLOG_OUT | sort-u> $ (vLOG_OUT ) 2> & 1
mientras que-r leer VIP
hacer
vSOURCE_IP \u003d $ (print $ (VIP) | awk-F "(" '(print $ 1)')
[! -d $ (vSOURCE_IP)] & & mkdir $ () vSOURCE_IP
[-D $ (vSOURCE_IP)] & & print "Carpeta de $ () vSOURCE_IP ya existen"
print "$ (Añadir VIP a $ ()) vSOURCE_IP"
print "$ (VIP)" | awk-F, '(print $ 1, $ 2)'>> $ (vSOURCE_IP) / $ () vSOURCE_IP. txt
hecho <$ vLOG_OUT ()