利用Python实时读取fast.json或eve.log，对级别 <=2 级的预警进行主动响应，调用iptables封禁ip

可以使用Python的`json`和`subprocess`库来实现实时读取`fast.json`或`eve.log`，并对级别较低的预警进行主动响应。

下面是一个简单的示例代码：

import json
import subprocess

# 读取 fast.json 或 eve.log
with open('fast.json') as f:
    data = json.load(f)

# 找到级别 <= 2 的预警，并封禁相应的 IP
for alert in data['alerts']:
    if alert['severity'] <= 2:
        ip = alert['src_ip']
        subprocess.run(['iptables', '-A', 'INPUT', '-s', ip, '-j', 'DROP'])

需要注意的是，上述代码只是一个示例，实际应用中还需要考虑一些细节问题，比如如何处理日志文件的变化、如何定期清除已封禁的 IP 等。

相关问题

利用Python实时读取fast.log或eve.json，对级别 <=2 级的预警进行主动响应，调用iptables封禁ip

可以使用Python的`tail`模块来实时读取`fast.log`文件，或者使用`watchdog`模块来监听`eve.json`文件变化。

以下是一个示例代码，用于读取`fast.log`文件并对级别小于等于2的预警进行主动响应：

import subprocess
import tail

def block_ip(ip):
    # 调用iptables命令封禁IP
    subprocess.call(['iptables', '-A', 'INPUT', '-s', ip, '-j', 'DROP'])

# 实时读取fast.log文件
t = tail.Tail('fast.log')
t.register_callback(lambda x: block_ip(x.split()[0]) if int(x.split()[1]) <= 2 else None)
t.follow()

如果要监听`eve.json`文件变化，则可以使用`watchdog`模块：

import json
import subprocess
from watchdog.observers import Observer
from watchdog.events import FileSystemEventHandler

class MyEventHandler(FileSystemEventHandler):
    def on_modified(self, event):
        if event.src_path.endswith('.json'):
            with open(event.src_path, 'r') as f:
                data = json.load(f)
                if data['level'] <= 2:
                    subprocess.call(['iptables', '-A', 'INPUT', '-s', data['src_ip'], '-j', 'DROP'])

# 监听eve.json文件变化
observer = Observer()
observer.schedule(MyEventHandler(), '.', recursive=True)
observer.start()

以上代码仅供参考，具体实现需要根据实际需求进行调整。同时，请注意iptables的使用规则，不当的使用可能会导致系统不稳定或者无法访问。

利用Python实时读取eve.json或fast.log，对级别 <=2 级的预警进行主动响应，调用iptables封禁ip

可以使用Python的`json`和`subprocess`模块来实现这个功能。

首先，使用`json`模块读取`eve.json`文件中的内容：

import json

with open('eve.json', 'r') as f:
    events = json.load(f)

然后，遍历`events`列表，查找级别小于等于2的预警：

for event in events:
    if event['alert']['severity'] <= 2:
        ip = event['src_ip']
        # 调用iptables命令封禁IP
        subprocess.call(['iptables', '-A', 'INPUT', '-s', ip, '-j', 'DROP'])

如果使用`fast.log`文件，可以使用`tail`命令实现实时读取：

import subprocess

p = subprocess.Popen(['tail', '-f', 'fast.log'], stdout=subprocess.PIPE)

while True:
    line = p.stdout.readline().decode('utf-8')
    if line:
        # 处理日志内容，判断是否需要封禁IP
        pass