Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Transformationsprozessoren

Transformationsprozessoren ändern die Struktur von Protokollereignissen, indem sie Felder hinzufügen, kopieren, verschieben oder entfernen.

Prozessor „add_entries“

Fügt statische Schlüssel-Wert-Paare zu Protokollereignissen hinzu. Einer Pipeline kann add_entries maximal ein Prozessor hinzugefügt werden.

Konfiguration

Konfigurieren Sie den add_entries-Prozessor mit den folgenden Parametern:

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

Prozessor „copy_values“

Kopiert Werte von einem Feld in ein anderes. Einer Pipeline kann höchstens ein copy_values Prozessor hinzugefügt werden.

Konfiguration

Konfigurieren Sie den Copy_Values-Prozessor mit den folgenden Parametern:

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

Prozessor „delete_entries“

Entfernt angegebene Felder aus Protokollereignissen.

Konfiguration

Konfigurieren Sie den Prozessor delete_entries mit den folgenden Parametern:

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

move_keys-Prozessor

Verschiebt Felder von einem Ort zum anderen.

Konfiguration

Konfigurieren Sie den move_keys-Prozessor mit den folgenden Parametern:

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

Prozessor abflachen

Glättet verschachtelte Objektstrukturen ab.

Konfiguration

Konfigurieren Sie den Flatten-Prozessor mit den folgenden Parametern:

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

Lookup-Prozessor

Reichert Protokollereignisse mit Daten aus einer CloudWatch Logs-Suchtabelle an. Der Prozessor gleicht Felder in Ihren Protokollereignissen mit Feldern in der Nachschlagetabelle ab und fügt bestimmte Felder an Ihre Protokollereignisse an. Verwenden Sie diesen Prozessor für Szenarien zur Datenanreicherung, z. B. für die Zuordnung von Benutzer-IDs zu Benutzerdetails, Produktcodes zu Produktinformationen oder Fehlercodes zu Fehlerbeschreibungen. Einer Pipeline kann maximal ein lookup Prozessor hinzugefügt werden.

Konfiguration

Konfigurieren Sie den Lookup-Prozessor mit den folgenden Parametern:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

Beispiel

Stellen Sie sich eine Nachschlagetabelle vor, die network_assets mit den folgenden Zeilen benannt ist:

Angesichts des folgenden Protokollereignisses:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

Und die folgende Prozessorkonfiguration:

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

Der Prozessor erzeugt das folgende erweiterte Protokollereignis:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

IAM-Berechtigungen

Wenn eine Pipeline den Lookup-Prozessor verwendet, muss die Ausführungsrolle der Pipeline die logs:GetLookupTable Berechtigung für die referenzierte Tabelle beinhalten. Das folgende Beispiel für eine Richtlinienanweisung gewährt diese Berechtigung:

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}

GeoIP-Prozessor

Der GeoIP-Prozessor reichert Protokollereignisse mit geographischen Standortdaten auf der Grundlage von IP-Adressen an. Der Prozessor verwendet MaxMind Datenbanken, um IP-Adressen in geografische Informationen wie Stadt, Land, Kontinent, Koordinaten und Angaben zur autonomen Systemnummer (ASN) aufzulösen. Verwenden Sie diesen Prozessor für die Analyse des Netzwerkverkehrs, zur Erweiterung des Benutzerstandorts und für Szenarien zur Sicherheitsuntersuchung.

Konfiguration

Konfigurieren Sie den GeoIP-Prozessor mit den folgenden Parametern:

processor:
  - geoip:
      entries:
        - source: "client_ip"
          target: "client_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "continent_name"
            - "latitude"
            - "longitude"
          when: '.client_ip != "127.0.0.1"'

Beispiel

Das folgende Beispiel zeigt ein Beispiel für ein Protokollereignis mit IP-Adressfeldern:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096
}

Die folgende Prozessorkonfiguration ordnet sowohl Quell- als auch Ziel-IP-Felder geografischen Anreicherungszielen zu:

processor:
  - geoip:
      entries:
        - source: "src_ip"
          target: "src_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "latitude"
            - "longitude"
            - "asn"
            - "asn_organization"
        - source: "dst_ip"
          target: "dst_geo"
          include_fields:
            - "country_name"
            - "country_iso_code"

Der Prozessor erzeugt das folgende erweiterte Protokollereignis:

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096,
  "src_geo": {
    "city_name": "Seattle",
    "country_name": "United States",
    "country_iso_code": "US",
    "latitude": 47.6062,
    "longitude": -122.3321,
    "asn": 16509,
    "asn_organization": "Amazon.com, Inc."
  },
  "dst_geo": {
    "country_name": "Germany",
    "country_iso_code": "DE"
  }
}