# Grokking of the request of an apache logfile is to optimistic

**URL:** <https://discuss.elastic.co/t/grokking-of-the-request-of-an-apache-logfile-is-to-optimistic/245002>\
**Category:** Beats\
**Tags:** filebeat\
**Created:** [August 14, 2020, 11:37am UTC](https://discuss.elastic.co/t/grokking-of-the-request-of-an-apache-logfile-is-to-optimistic/245002 "2020-08-14T11:37:16Z")\
**Posts on this page:** 2\
**Page:** 1

<div class="post-metadata">

**Author:** ![guequierre](https://avatars.discourse-cdn.com/v4/letter/g/7993a0/32.png) [@guequierre](https://discuss.elastic.co/u/guequierre)\
**Post date:** [August 14, 2020, 11:37am UTC](https://discuss.elastic.co/t/grokking-of-the-request-of-an-apache-logfile-is-to-optimistic/245002/1 "2020-08-14T11:37:17Z")

</div>

Right now it expects the request always to be in a valid form of "method url version". But in practice i do see a lot of invalid requests which i actually from a siem point of view i want to know about. As these are potential attacks on the apache server itself.

E.g.  
141.98.9.54 - - [14/Aug/2020:10:03:10 +0200] "\x03\x00\x00/\*\xE0\x00\x00\x00\x00\x00Cookie: mstshash=Administr" 400 173 "-" "-"  
61.219.11.153 - - [13/Aug/2020:08:22:17 +0200] "\x01\x02\x03\x04\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00" 400 173 "-" "-"

I think it would be wise to split them in 2, first the full request. And if it's a valid request split them in method/uri/version.

This problem might also occur in other modules.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [September 11, 2020, 1:37pm UTC](https://discuss.elastic.co/t/grokking-of-the-request-of-an-apache-logfile-is-to-optimistic/245002/2 "2020-09-11T13:37:36Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.