Wie immer mal, kommt man an den Punkt wo man sich fragt: "Geht das nicht einfacher?" Zum Beispiel wenn man bestimmte Informationen aus riesigen Log Dateien haben will.
Aus gegebenem Anlass einfach mal folgendes Szenario: Unsere Firewall teilte mit, ein paar böse Buben im Unternehmen hätten versucht infizierte Software über cloudfront herunterzuladen. Cloudfront ist ein Cloudspeicherdienst von Amazon, auf den einige Unternehmen setzen.
Nunja, da wir nicht die komplette URL im Report bekommen haben, konnte ich nicht nachvollziehen wo nun wieder rumgeklickt wurde. Der erste Gedanke war dann, sich mal den Log der Firewall anzusehen. Nunja auch mit den bekannten IP Adressen dank DNS Records und den entsprechenden stichwörtern wie "block" ist es auch mit dem besten Editor nicht einfach 140.000 Zeilen an Informationen zu durchforsten.
Unter Linux kennt man ja Bordmittel wie grep. Sowas muss es doch auch für Windows geben, dachte ich mir, und das tut es auch. Nennt sich "findstr". Bietet ne jede Menge Möglichkeiten, aber für meine Recherche reichten mir eigentlich nur zwei Funktionen davon.
Es ist eine Volltextsuche, die nach Schlüsselwörtern sucht. Im Prinzip suchen wir in der Datei erst einmal nach der IP-Adresse um über die Pipe nach weiteren Wörtern zu suchen. Das Ergebnis lassen wir uns in eine Textdatei geben die uns mehr ausschluss darüber geben kann, was denn nun wirklich passiert ist:
findstr "192.168.0.133" firewall.log | findstr "block" >> results.txt
Quelle:
Weitere nützliche Erklärungen: