egrepping logs de mod_security

Hoy les comparto un par de comandos utiles para extraer informacion de logs de mod_security.

Lista los User Agents y cuenta el número de veces que apareció en los logs

egrep 'User-Agent' modsec_audit.log | sort | uniq -c | sort -rn

Lista todos los codigos HTTP de las peticiones

egrep "^HTTP/" modsec_audit.log | sed  "s/HTTP\/[01].[019] //g" | sort | uniq

Lista los Referrers y cuenta el número de veces que aparecieron en los logs

egrep 'Referer' modsec_audit.log | sort | uniq -c | sort -rn

Y finalmente unas variaciones para ver que scripts fueron los m´s atacados

egrep 'GET' modsec_audit.log | sort | uniq -c | sort -rn
egrep 'POST' modsec_audit.log | sort | uniq -c | sort -rn