分析Nginx日志中的流量来源可以通过以下步骤进行：
日志收集与处理
- 使用工具如Filebeat收集Nginx日志，并将其传输到Logstash或Elasticsearch中进行处理。
日志分析维度
- 访问分析：统计访问人数及流量，分析访问来源、访问站点、访问页面，以及请求响应时间和响应码。
- 网站业务分析：识别访问量最大的内容，分析活跃用户和活跃时间段。
威胁发现与行为分析
- 关键字过滤：查找请求中携带的关键字，如script、select、from、echo、bash等，以发现异常请求。
- 行为分析：观察特定IP的请求行为，如登录多个账号，查询IP的威胁情报等，以判断是否为恶意访问。
- 扫描行为：通过过滤404请求和GET等，发现目录扫描探测行为，以及通过IP过滤状态码为200的请求，发现安全隐患。
报告撰写
- 在报告中重点体现某个IP或某些IP的攻击画像，确定攻击行为，以便确定是否来自同一拨攻击或互联网上的肉鸡日常扫描。
具体工具与方法
- goaccess：一个强大的开源工具，可以实时分析Nginx日志文件，提供访问量、访问来源、请求响应时间等指标，并且可以生成HTML报告。
通过上述步骤和方法，可以有效地分析Nginx日志中的流量来源，识别潜在的安全威胁，并采取相应的防护措施。