🥇Следим за промяната на файлове с помощта на Alerting OpenDistro for Elasticsearch

Днес възникна нужда от мониторинг на промените в определени файлове на сървъра, има много различни начини, например osquery от Facebook, но тъй като наскоро започнах да използвам Open Distro for Elasticsearch , реших да наблюдавам файлове с еластик, един от неговите beat'ове.

Няма да описвам инсталацията на Elastic stack и Auditbeat, всичко е в ръководствата, единственото, което трябва да направите след инсталацията, е да редактирате файла auditbeat.yml, в модула file_integrity , добавете пътя до наблюдавания файл.

След настройката и стартирането, в Kibana ще се появи индекс auditbeat-*

След това създаваме мониторинг, като посочваме име на мониторинга, интервал на проверка, а също така тип на мониторинга и индекс файл:

в Define extraction query пишем следното:

Define extraction query

{
    "query": {
        "bool": {
            "must": [
                {
                    "match_phrase": {
                        "file.path": {
                            "query": ""

                        }
                    }
                }
            ],
            "filter": [
                {
                    "term": {
                        "event.action": {
                            "value": "attributes_modified"    #промени в атрибутите, възможно е created или deleted

                        }
                    }
                },
                {
                    "range": {
                        "@timestamp": {
                            "from": "now-1m" #период, за който следим промените

                        }
                    }
                }
            ],
            "adjust_pure_negative": true,
            "boost": 1
        }
    }
}

След това натискаме бутона Run и проверяваме запитването, трябва да се появи нещо такова: