我该如何刷新 Moloch？

Question

我已经安装了摩洛克文档有点单薄。有人知道我该如何刷新数据库和 pcap 日志，让系统恢复到刚安装的状态吗？

有脚本用于使数据库中的旧数据过期，但我想删除所有数据，而且我不确定脚本是否会删除 pcap 文件。

Answer 1

要恢复 Moloch 数据库（Elasticsearch 模式和索引数据），您可以使用/moloch/db/db.pl脚本，然后删除/moloch/raw内容以擦除 PCAP 数据。

我发布了一篇包含此信息的快速帖子，以防有人发现它有用：

Moloch：擦除数据并恢复数据库 - Alejandro Nolla - z0mbiehunt3r