17. Output

• 17.1. EVE
  • 17.1.1. Eve JSON Output
    • 17.1.1.1. Output types
    • 17.1.1.2. Alerts
    • 17.1.1.3. Anomaly
    • 17.1.1.4. HTTP
    • 17.1.1.5. DNS
    • 17.1.1.6. TLS
    • 17.1.1.7. Drops
    • 17.1.1.8. Stats
      • 17.1.1.8.1. Zero-valued Counters
    • 17.1.1.9. Date modifiers in filename
    • 17.1.1.10. Threaded file output
    • 17.1.1.11. Rotate log file
    • 17.1.1.12. Multiple Logger Instances
    • 17.1.1.13. File permissions
    • 17.1.1.14. JSON flags
    • 17.1.1.15. Community Flow ID
      • 17.1.1.15.1. Options
        • 17.1.1.15.1.1. Multi Tenancy
  • 17.1.2. Eve JSON Format
    • 17.1.2.1. Common Section
      • 17.1.2.1.1. Field: flow_id
      • 17.1.2.1.2. Event types
      • 17.1.2.1.3. PCAP fields
    • 17.1.2.2. Event type: Alert
      • 17.1.2.2.1. Action field
      • 17.1.2.2.2. Verdict
      • 17.1.2.2.3. Pcap Field
    • 17.1.2.3. Event type: Anomaly
      • 17.1.2.3.1. Fields
      • 17.1.2.3.2. Examples
    • 17.1.2.4. Event type: HTTP
      • 17.1.2.4.1. Fields
      • 17.1.2.4.2. Examples
    • 17.1.2.5. Event type: DNS
      • 17.1.2.5.1. Fields
      • 17.1.2.5.2. Examples
    • 17.1.2.6. Event type: FTP
      • 17.1.2.6.1. Fields
      • 17.1.2.6.2. Examples
    • 17.1.2.7. Event type: FTP_DATA
      • 17.1.2.7.1. Fields
      • 17.1.2.7.2. Examples
    • 17.1.2.8. Event type: TLS
      • 17.1.2.8.1. Fields
      • 17.1.2.8.2. Examples
    • 17.1.2.9. Event type: TFTP
      • 17.1.2.9.1. Fields
    • 17.1.2.10. Event type: SMB
      • 17.1.2.10.1. SMB Fields
      • 17.1.2.10.2. DCERPC fields
    • 17.1.2.11. Event type: BITTORRENT-DHT
      • 17.1.2.11.1. Common fields:
      • 17.1.2.11.2. Extra fields:
      • 17.1.2.11.3. Examples:
      • 17.1.2.11.4. NTLMSSP fields
      • 17.1.2.11.5. Kerberos fields
    • 17.1.2.12. Event type: SSH
      • 17.1.2.12.1. Fields
    • 17.1.2.13. Event type: Flow
      • 17.1.2.13.1. Fields
    • 17.1.2.14. Event type: RDP
      • 17.1.2.14.1. RDP type: Initial Request
      • 17.1.2.14.2. RDP type: Initial Response
      • 17.1.2.14.3. RDP type: Connect Request
      • 17.1.2.14.4. RDP type: Connect Response
      • 17.1.2.14.5. RDP type: TLS Handshake
      • 17.1.2.14.6. Examples
    • 17.1.2.15. Event type: RFB
      • 17.1.2.15.1. Fields
      • 17.1.2.15.2. Examples
    • 17.1.2.16. Event type: MQTT
      • 17.1.2.16.1. Transactions
      • 17.1.2.16.2. Common fields
      • 17.1.2.16.3. MQTT CONNECT fields
      • 17.1.2.16.4. MQTT CONNACK fields
      • 17.1.2.16.5. MQTT PUBLISH fields
      • 17.1.2.16.6. MQTT PUBACK/PUBREL/PUBREC/PUBCOMP fields
      • 17.1.2.16.7. MQTT SUBSCRIBE fields
      • 17.1.2.16.8. MQTT SUBACK fields
      • 17.1.2.16.9. MQTT UNSUBSCRIBE fields
      • 17.1.2.16.10. MQTT UNSUBACK fields
      • 17.1.2.16.11. MQTT AUTH fields (MQTT 5.0)
      • 17.1.2.16.12. MQTT DISCONNECT fields
      • 17.1.2.16.13. Truncated MQTT data
    • 17.1.2.17. Event type: HTTP2
      • 17.1.2.17.1. Fields
      • 17.1.2.17.2. Examples
    • 17.1.2.18. Event type: PGSQL
      • 17.1.2.18.1. Fields
      • 17.1.2.18.2. Request Messages
      • 17.1.2.18.3. Response Messages
      • 17.1.2.18.4. Examples
    • 17.1.2.19. Event type: IKE
      • 17.1.2.19.1. Fields
      • 17.1.2.19.2. Examples
    • 17.1.2.20. Event type: Modbus
      • 17.1.2.20.1. Common fields
      • 17.1.2.20.2. Request/Response fields
      • 17.1.2.20.3. Exception fields
      • 17.1.2.20.4. Diagnostic fields
      • 17.1.2.20.5. MEI fields
      • 17.1.2.20.6. Read Request fields
      • 17.1.2.20.7. Read Response fields
      • 17.1.2.20.8. Multiple Write Request fields
      • 17.1.2.20.9. Mask Write fields
      • 17.1.2.20.10. Other Write fields
      • 17.1.2.20.11. Generic Data fields
      • 17.1.2.20.12. Example
    • 17.1.2.21. Event type: QUIC
      • 17.1.2.21.1. Fields
      • 17.1.2.21.2. Examples
    • 17.1.2.22. Event type: DHCP
      • 17.1.2.22.1. Fields
      • 17.1.2.22.2. Examples
  • 17.1.3. Eve JSON 'jq' Examples
    • 17.1.3.1. Colorize output
    • 17.1.3.2. DNS NXDOMAIN
    • 17.1.3.3. Unique HTTP User Agents
    • 17.1.3.4. Data use for a host
    • 17.1.3.5. Monitor part of the stats
    • 17.1.3.6. Inspect Alert Data
    • 17.1.3.7. Top 10 Destination Ports
• 17.2. Lua Output
  • 17.2.1. Script structure
  • 17.2.2. YAML
  • 17.2.3. Developing lua output script
• 17.3. Syslog Alerting Compatibility
  • 17.3.1. Popular syslog daemons
  • 17.3.2. Finding what syslog daemon you are using
  • 17.3.3. Example
• 17.4. Custom http logging
• 17.5. Custom tls logging
• 17.6. Log Rotation