🥇Следим за изменението на файловете с помощта на Alerting OpenDistro for Elasticsearch

Днес възникна необходимост от мониторинг на измененията на определени файлове на сървъра, има много различни методи, например osquery от Facebook, но тъй като наскоро започнах да използвам Open Distro for Elasticsearch , реших да наблюдавам файловете с Elastic, един от неговите beat’ове.

Не ще описвам настройката на Elastic stack и Auditbeat, всичко е по ръководствата, единственото, което трябва да направите след инсталацията, е да редактирате файла auditbeat.yml, в модула file_integrity добавете пътя до проследявания файл.

След настройката и стартирането в Kibana ще се появи индекс auditbeat-*

След това създаваме мониторинг, указваме името на мониторинга, интервала на проверка, както и типа на мониторинга и файла на индекса:

в Определете заявката за извличане пишем следното:

Определете заявката за извличане

{
    "query": {
        "bool": {
            "must": [
                {
                    "match_phrase": {
                        "file.path": {
                            "query": ""

                        }
                    }
                }
            ],
            "filter": [
                {
                    "term": {
                        "event.action": {
                            "value": "attributes_modified"    # изменения на атрибутите, възможно created или deleted

                        }
                    }
                },
                {
                    "range": {
                        "@timestamp": {
                            "from": "now-1m" # период, през който проследяваме промяната

                        }
                    }
                }
            ],
            "adjust_pure_negative": true,
            "boost": 1
        }
    }
}

След това натискаме бутона Run и проверяваме заявката, трябва да се появи нещо такова: