🥇Alerting OpenDistro for Elasticsearch を使用したファイル変更の監視

現在、サーバー上の特定のファイルへの変更を監視する必要があります。さまざまな方法があります。たとえば、フェイスブックからのオスクエリですが、最近使い始めたので Elasticsearchのオープンディストリビューション彼のファイルの 1 つである elastic を使用してファイルを監視することにしました。ビートの.

ElasticsスタックとAuditbeatのインストールについては説明しません。すべてマニュアルに従っています。インストール後にファイルを編集するだけです。 監査ビート.yml、モジュールへ ファイルの整合性 追跡されたファイルへのパスを追加します。

設定して起動すると、kibana にインデックスが表示されます。監査ビート-*

次に、モニタリングを作成し、モニタリング名、チェック間隔、モニタリングタイプ、インデックスファイルを指定します。

в 抽出クエリを定義する 次のように書きます。

抽出クエリを定義する

{
    "query": {
        "bool": {
            "must": [
                {
                    "match_phrase": {
                        "file.path": {
                            "query": "<путь/к отслеживаемому файлу>"

                        }
                    }
                }
            ],
            "filter": [
                {
                    "term": {
                        "event.action": {
                            "value": "attributes_modified"    #изменения атрибутов, возможно created  или deleted

                        }
                    }
                },
                {
                    "range": {
                        "@timestamp": {
                            "from": "now-1m" #период за который отслеживаем изменение 

                        }
                    }
                }
            ],
            "adjust_pure_negative": true,
            "boost": 1
        }
    }
}

次に、「実行」ボタンをクリックしてリクエストを確認すると、次のように表示されます。