2. Elastic stack: ການວິເຄາະບັນທຶກຄວາມປອດໄພ. Logstash

ໃນທີ່ສຸດ ບົດຄວາມ ພວກ​ເຮົາ​ໄດ້​ພົບ ELK stack, ສິ່ງທີ່ຜະລິດຕະພັນຊອບແວມັນປະກອບດ້ວຍ. ແລະວຽກງານທໍາອິດທີ່ວິສະວະກອນປະເຊີນກັບເວລາເຮັດວຽກກັບ ELK stack ແມ່ນການສົ່ງບັນທຶກສໍາລັບການເກັບຮັກສາໃນ elasticsearch ສໍາລັບການວິເຄາະຕໍ່ໄປ. ຢ່າງໃດກໍ່ຕາມ, ນີ້ແມ່ນພຽງແຕ່ການບໍລິການປາກ, elasticsearch ເກັບຮັກສາບັນທຶກໃນຮູບແບບຂອງເອກະສານທີ່ມີບາງຂົງເຂດແລະຄຸນຄ່າ, ຊຶ່ງຫມາຍຄວາມວ່າວິສະວະກອນຕ້ອງໃຊ້ເຄື່ອງມືຕ່າງໆເພື່ອວິເຄາະຂໍ້ຄວາມທີ່ຖືກສົ່ງມາຈາກລະບົບສຸດທ້າຍ. ນີ້ສາມາດເຮັດໄດ້ໃນຫຼາຍວິທີ - ຂຽນໂປຼແກຼມຕົວເອງທີ່ຈະເພີ່ມເອກະສານໃນຖານຂໍ້ມູນໂດຍໃຊ້ API, ຫຼືໃຊ້ວິທີແກ້ໄຂທີ່ກຽມພ້ອມ. ໃນຫຼັກສູດນີ້ພວກເຮົາຈະພິຈາລະນາການແກ້ໄຂ logstash, ເຊິ່ງເປັນສ່ວນຫນຶ່ງຂອງ ELK stack. ພວກເຮົາຈະເບິ່ງວິທີທີ່ພວກເຮົາສາມາດສົ່ງບັນທຶກຈາກລະບົບ endpoint ໄປ Logstash, ແລະຫຼັງຈາກນັ້ນພວກເຮົາຈະຕັ້ງຄ່າໄຟລ໌ການຕັ້ງຄ່າເພື່ອວິເຄາະແລະປ່ຽນເສັ້ນທາງໄປຫາຖານຂໍ້ມູນ Elasticsearch. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາເອົາບັນທຶກຈາກ Check Point firewall ເປັນລະບົບຂາເຂົ້າ.

ຫຼັກສູດບໍ່ໄດ້ກວມເອົາການຕິດຕັ້ງ ELK stack, ເນື່ອງຈາກວ່າມີບົດຄວາມຈໍານວນຫລາຍກ່ຽວກັບຫົວຂໍ້ນີ້; ພວກເຮົາຈະພິຈາລະນາອົງປະກອບການຕັ້ງຄ່າ.

ມາສ້າງແຜນປະຕິບັດງານສໍາລັບການຕັ້ງຄ່າ Logstash:

1. ການກວດສອບວ່າ elasticsearch ຈະຍອມຮັບບັນທຶກ (ການກວດສອບການເຮັດວຽກແລະການເປີດກວ້າງຂອງພອດ).
2. ພວກເຮົາພິຈາລະນາວິທີທີ່ພວກເຮົາສາມາດສົ່ງເຫດການໄປຫາ Logstash, ເລືອກວິທີການ, ແລະປະຕິບັດມັນ.
3. ພວກເຮົາຕັ້ງຄ່າການປ້ອນຂໍ້ມູນໃນໄຟລ໌ການຕັ້ງຄ່າ Logstash.
4. ພວກເຮົາກຳນົດຄ່າ Output ໃນໄຟລ໌ການຕັ້ງຄ່າ Logstash ໃນໂໝດດີບັກເພື່ອເຂົ້າໃຈວ່າຂໍ້ຄວາມບັນທຶກເປັນແນວໃດ.
5. ການ​ຕັ້ງ​ຄ່າ​ການ​ກັ່ນ​ຕອງ​.
6. ການຕັ້ງຄ່າຜົນໄດ້ຮັບທີ່ຖືກຕ້ອງໃນ ElasticSearch.
7. ການເປີດຕົວ Logstash.
8. ການ​ກວດ​ສອບ​ບັນ​ທຶກ​ໃນ Kibana​.

ໃຫ້ເບິ່ງແຕ່ລະຈຸດໃນລາຍລະອຽດເພີ່ມເຕີມ:

ການກວດສອບ elasticsearch ຈະຍອມຮັບບັນທຶກ

ເພື່ອເຮັດສິ່ງນີ້, ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງ curl ເພື່ອກວດສອບການເຂົ້າເຖິງ Elasticsearch ຈາກລະບົບທີ່ Logstash ຖືກນໍາໄປໃຊ້. ຖ້າ​ຫາກ​ທ່ານ​ມີ​ການ​ກວດ​ສອບ​ການ​ຕັ້ງ​ຄ່າ​, ພວກ​ເຮົາ​ຍັງ​ໄດ້​ໂອນ​ຜູ້​ໃຊ້ / ລະ​ຫັດ​ຜ່ານ​ຜ່ານ curl​, ການ​ລະ​ບຸ port 9200 ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ບໍ່​ໄດ້​ປ່ຽນ​ແປງ​ມັນ​. ຖ້າທ່ານໄດ້ຮັບການຕອບສະຫນອງທີ່ຄ້າຍຄືກັນກັບຫນຶ່ງຂ້າງລຸ່ມນີ້, ຫຼັງຈາກນັ້ນທຸກສິ່ງທຸກຢ່າງແມ່ນຢູ່ໃນຄໍາສັ່ງ.

[elastic@elasticsearch ~]$ curl -u <<user_name>> : <<password>> -sS -XGET "<<ip_address_elasticsearch>>:9200"
{
  "name" : "elastic-1",
  "cluster_name" : "project",
  "cluster_uuid" : "sQzjTTuCR8q4ZO6DrEis0A",
  "version" : {
    "number" : "7.4.1",
    "build_flavor" : "default",
    "build_type" : "rpm",
    "build_hash" : "fc0eeb6e2c25915d63d871d344e3d0b45ea0ea1e",
    "build_date" : "2019-10-22T17:16:35.176724Z",
    "build_snapshot" : false,
    "lucene_version" : "8.2.0",
    "minimum_wire_compatibility_version" : "6.8.0",
    "minimum_index_compatibility_version" : "6.0.0-beta1"
  },
  "tagline" : "You Know, for Search"
}
[elastic@elasticsearch ~]$

ຖ້າການຕອບສະ ໜອງ ບໍ່ໄດ້ຮັບການຕອບສະ ໜອງ, ມັນອາດຈະມີຂໍ້ຜິດພາດຫຼາຍປະເພດ: ຂະບວນການ elasticsearch ບໍ່ເຮັດວຽກ, ມີການລະບຸພອດທີ່ບໍ່ຖືກຕ້ອງ, ຫຼືພອດຖືກບລັອກໂດຍ firewall ໃນເຄື່ອງແມ່ຂ່າຍທີ່ elasticsearch ຖືກຕິດຕັ້ງ.

ໃຫ້ເບິ່ງວິທີທີ່ທ່ານສາມາດສົ່ງບັນທຶກໄປຫາ Logstash ຈາກ firewall ຈຸດກວດກາ

ຈາກເຄື່ອງແມ່ຂ່າຍການຄຸ້ມຄອງຈຸດກວດກາທ່ານສາມາດສົ່ງບັນທຶກໄປຍັງ Logstash ຜ່ານ syslog ໂດຍໃຊ້ log_exporter utility, ທ່ານສາມາດອ່ານເພີ່ມເຕີມກ່ຽວກັບມັນທີ່ນີ້. ບົດຄວາມ, ໃນທີ່ນີ້ພວກເຮົາຈະປ່ອຍໃຫ້ພຽງແຕ່ຄໍາສັ່ງທີ່ສ້າງນ້ໍາ:

cp_log_export ເພີ່ມຊື່ check_point_syslog target-server < > target-port 5555 protocol tcp format generic read-mode semi-unified

< > - ທີ່ຢູ່ຂອງເຊີບເວີທີ່ Logstash ແລ່ນ, ເປົ້າໝາຍ-ພອດ 5555 - ພອດທີ່ພວກເຮົາຈະສົ່ງບັນທຶກ, ການສົ່ງບັນທຶກຜ່ານ tcp ສາມາດໂຫລດເຄື່ອງແມ່ຂ່າຍໄດ້, ດັ່ງນັ້ນໃນບາງກໍລະນີມັນໃຊ້ udp ຢ່າງຖືກຕ້ອງກວ່າ.

ການຕັ້ງຄ່າ INPUT ໃນໄຟລ໌ການຕັ້ງຄ່າ Logstash

ໂດຍຄ່າເລີ່ມຕົ້ນ, ໄຟລ໌ການຕັ້ງຄ່າຕັ້ງຢູ່ໃນໄດເລກະທໍລີ /etc/logstash/conf.d/. ໄຟລ໌ການຕັ້ງຄ່າປະກອບດ້ວຍ 3 ພາກສ່ວນທີ່ມີຄວາມຫມາຍ: INPUT, FILTER, OUTPUT. IN ປັດໄຈນໍາເຂົ້າ ພວກເຮົາຊີ້ບອກບ່ອນທີ່ລະບົບຈະເອົາບັນທຶກຈາກ, ໃນ FILTER parse the log - ຕັ້ງຄ່າວິທີການແບ່ງຂໍ້ຄວາມເຂົ້າໄປໃນຊ່ອງຂໍ້ມູນແລະຄ່າ, ໃນ OUTPUT ພວກເຮົາກຳນົດຄ່າກະແສອອກ - ບ່ອນທີ່ບັນທຶກທີ່ແຍກວິເຄາະຈະຖືກສົ່ງ.

ທໍາອິດ, ໃຫ້ພວກເຮົາ configure INPUT, ພິຈາລະນາບາງປະເພດທີ່ສາມາດເປັນ - file, tcp ແລະ exe .

TCP:

input {
tcp {
    port => 5555
    host => “10.10.1.205”
    type => "checkpoint"
    mode => "server"
}
}

ໂໝດ => "ເຊີບເວີ"
ຊີ້ໃຫ້ເຫັນວ່າ Logstash ກໍາລັງຍອມຮັບການເຊື່ອມຕໍ່.

ພອດ => 5555
ເຈົ້າພາບ => "10.10.1.205"
ພວກເຮົາຍອມຮັບການເຊື່ອມຕໍ່ຜ່ານທີ່ຢູ່ IP 10.10.1.205 (Logstash), ພອດ 5555 - ພອດຕ້ອງໄດ້ຮັບການອະນຸຍາດໂດຍນະໂຍບາຍໄຟວໍ.

ປະເພດ => "ດ່ານ"
ພວກເຮົາຫມາຍເອກະສານ, ສະດວກຫຼາຍຖ້າຫາກວ່າທ່ານມີການເຊື່ອມຕໍ່ຂາເຂົ້າຫຼາຍ. ຫຼັງຈາກນັ້ນ, ສໍາລັບການເຊື່ອມຕໍ່ແຕ່ລະຄົນທ່ານສາມາດຂຽນຕົວກອງຂອງທ່ານເອງໂດຍໃຊ້ເຫດຜົນຖ້າການກໍ່ສ້າງ.

ໄຟ:

input {
  file {
    path => "/var/log/openvas_report/*"
    type => "openvas"
    start_position => "beginning"
    }
}

ລາຍ​ລະ​ອຽດ​ຂອງ​ການ​ຕັ້ງ​ຄ່າ​:
ເສັ້ນທາງ => "/var/log/openvas_report/*"
ພວກເຮົາຊີ້ບອກໄດເລກະທໍລີທີ່ໄຟລ໌ຕ້ອງການອ່ານ.

ປະເພດ => "openvas"
ປະເພດເຫດການ.

start_position => "ເລີ່ມຕົ້ນ"
ເມື່ອປ່ຽນໄຟລ໌, ມັນຈະອ່ານໄຟລ໌ທັງຫມົດ; ຖ້າທ່ານຕັ້ງ "ສິ້ນສຸດ", ລະບົບລໍຖ້າບັນທຶກໃຫມ່ປາກົດຢູ່ໃນຕອນທ້າຍຂອງໄຟລ໌.

Exec:

input {
  exec {
    command => "ls -alh"
    interval => 30
  }
}

ການ​ນໍາ​ໃຊ້​ການ​ປ້ອນ​ຂໍ້​ມູນ​ນີ້​, ຄໍາ​ສັ່ງ​ແກະ (ເທົ່າ​ນັ້ນ​!) ຖືກ​ເປີດ​ຕົວ​ແລະ​ຜົນ​ຜະ​ລິດ​ຂອງ​ມັນ​ໄດ້​ຖືກ​ປ່ຽນ​ເປັນ​ຂໍ້​ຄວາມ​ບັນ​ທຶກ​.

ຄໍາສັ່ງ => "ls -alh"
ຄໍາສັ່ງທີ່ຜົນຜະລິດທີ່ພວກເຮົາສົນໃຈ.

ໄລຍະຫ່າງ => 30
ໄລຍະຫ່າງການເອີ້ນຄໍາສັ່ງເປັນວິນາທີ.

ເພື່ອໃຫ້ໄດ້ຮັບບັນທຶກຈາກ firewall, ພວກເຮົາລົງທະບຽນຕົວກອງ tcp ຫຼື udp, ຂຶ້ນກັບວິທີການບັນທຶກທີ່ຖືກສົ່ງໄປຫາ Logstash.

ພວກເຮົາກຳນົດຄ່າ Output ໃນໄຟລ໌ການຕັ້ງຄ່າ Logstash ໃນໂໝດດີບັກເພື່ອເຂົ້າໃຈວ່າຂໍ້ຄວາມບັນທຶກເປັນແນວໃດ.

ຫຼັງຈາກທີ່ພວກເຮົາໄດ້ຕັ້ງຄ່າ INPUT ແລ້ວ, ພວກເຮົາຈໍາເປັນຕ້ອງເຂົ້າໃຈວ່າຂໍ້ຄວາມບັນທຶກຈະມີລັກສະນະແນວໃດແລະວິທີການໃດທີ່ຈໍາເປັນຕ້ອງໃຊ້ເພື່ອກໍານົດຕົວກອງບັນທຶກ (parser).

ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະນໍາໃຊ້ຕົວກອງທີ່ສົ່ງຜົນໄດ້ຮັບໄປ stdout ເພື່ອເບິ່ງຂໍ້ຄວາມຕົ້ນສະບັບ; ໄຟລ໌ການຕັ້ງຄ່າທີ່ສົມບູນໃນປັດຈຸບັນຈະມີລັກສະນະນີ້:

input 
{
         tcp 
         {
                port => 5555
  	  	type => "checkpoint"
    		mode => "server"
                host => “10.10.1.205”
   	 }
}

output 
{
	if [type] == "checkpoint" 
       {
		stdout { codec=> json }
	}
}

ດໍາເນີນການຄໍາສັ່ງເພື່ອກວດສອບ:
sudo /usr/share/logstash/bin//logstash -f /etc/logstash/conf.d/checkpoint.conf
ພວກເຮົາເຫັນຜົນໄດ້ຮັບ, ຮູບພາບແມ່ນສາມາດຄລິກໄດ້:

ຖ້າ​ເຈົ້າ​ຄັດ​ລອກ​ມັນ​ຈະ​ເປັນ​ດັ່ງ​ນີ້​:

action="Accept" conn_direction="Internal" contextnum="1" ifdir="outbound" ifname="bond1.101" logid="0" loguid="{0x5dfb8c13,0x5,0xfe0a0a0a,0xc0000000}" origin="10.10.10.254" originsicname="CN=ts-spb-cpgw-01,O=cp-spb-mgmt-01.tssolution.local.kncafb" sequencenum="8" time="1576766483" version="5" context_num="1" dst="10.10.10.10" dst_machine_name="[email protected]" layer_name="TSS-Standard Security" layer_name="TSS-Standard Application" layer_uuid="dae7f01c-4c98-4c3a-a643-bfbb8fcf40f0" layer_uuid="dbee3718-cf2f-4de0-8681-529cb75be9a6" match_id="8" match_id="33554431" parent_rule="0" parent_rule="0" rule_action="Accept" rule_action="Accept" rule_name="Implicit Cleanup" rule_uid="6dc2396f-9644-4546-8f32-95d98a3344e6" product="VPN-1 & FireWall-1" proto="17" s_port="37317" service="53" service_id="domain-udp" src="10.10.1.180" ","type":"qqqqq","host":"10.10.10.250","@version":"1","port":50620}{"@timestamp":"2019-12-19T14:50:12.153Z","message":"time="1576766483" action="Accept" conn_direction="Internal" contextnum="1" ifdir="outbound" ifname="bond1.101" logid="0" loguid="{0x5dfb8c13,

ຊອກຫາຢູ່ໃນຂໍ້ຄວາມເຫຼົ່ານີ້, ພວກເຮົາເຂົ້າໃຈວ່າບັນທຶກມີລັກສະນະຄ້າຍຄື: field = value ຫຼື key = value, ຊຶ່ງຫມາຍຄວາມວ່າຕົວກອງທີ່ເອີ້ນວ່າ kv ແມ່ນເຫມາະສົມ. ເພື່ອເລືອກການກັ່ນຕອງທີ່ເຫມາະສົມສໍາລັບແຕ່ລະກໍລະນີ, ມັນຄວນຈະເປັນຄວາມຄິດທີ່ດີທີ່ຈະຄຸ້ນເຄີຍກັບພວກເຂົາໃນເອກະສານດ້ານວິຊາການ, ຫຼືຖາມຫມູ່ເພື່ອນ.

ການ​ຕັ້ງ​ຄ່າ​ການ​ກັ່ນ​ຕອງ​

ໃນຂັ້ນຕອນສຸດທ້າຍທີ່ພວກເຮົາເລືອກ kv, ການຕັ້ງຄ່າຂອງການກັ່ນຕອງນີ້ແມ່ນນໍາສະເຫນີຂ້າງລຸ່ມນີ້:

filter {
if [type] == "checkpoint"{
	kv {
		value_split => "="
		allow_duplicate_values => false
	}
}
}

ພວກເຮົາເລືອກສັນຍາລັກທີ່ພວກເຮົາຈະແບ່ງພາກສະຫນາມແລະມູນຄ່າ - "=". ຖ້າພວກເຮົາມີລາຍການທີ່ຄ້າຍຄືກັນຢູ່ໃນບັນທຶກ, ພວກເຮົາບັນທຶກພຽງແຕ່ຫນຶ່ງຕົວຢ່າງໃນຖານຂໍ້ມູນ, ຖ້າບໍ່ດັ່ງນັ້ນທ່ານຈະສິ້ນສຸດດ້ວຍ array ຂອງຄ່າດຽວກັນ, ນັ້ນແມ່ນ, ຖ້າພວກເຮົາມີຂໍ້ຄວາມ "foo = some foo = some" ພວກເຮົາຂຽນພຽງແຕ່ foo. = ບາງ.

ການຕັ້ງຄ່າຜົນໄດ້ຮັບທີ່ຖືກຕ້ອງໃນ ElasticSearch

ເມື່ອການກັ່ນຕອງຖືກຕັ້ງຄ່າ, ທ່ານສາມາດອັບໂຫລດບັນທຶກໄປຍັງຖານຂໍ້ມູນ ແຜ່ນຍືດ:

output 
{
if [type] == "checkpoint"
{
 	elasticsearch 
        {
		hosts => ["10.10.1.200:9200"]
		index => "checkpoint-%{+YYYY.MM.dd}"
    		user => "tssolution"
    		password => "cool"
  	}
}
}

ຖ້າເອກະສານຖືກເຊັນດ້ວຍປະເພດຈຸດກວດກາ, ພວກເຮົາບັນທຶກເຫດການໃນຖານຂໍ້ມູນ elasticsearch, ເຊິ່ງຍອມຮັບການເຊື່ອມຕໍ່ໃນ 10.10.1.200 ໃນພອດ 9200 ໂດຍຄ່າເລີ່ມຕົ້ນ. ແຕ່ລະເອກະສານຖືກບັນທຶກໄວ້ໃນດັດຊະນີສະເພາະ, ໃນກໍລະນີນີ້ພວກເຮົາບັນທຶກໃສ່ດັດຊະນີ "ຈຸດກວດກາ" + ວັນທີເວລາປະຈຸບັນ. ແຕ່ລະດັດຊະນີສາມາດມີຊຸດສະເພາະຂອງຊ່ອງຂໍ້ມູນ, ຫຼືຖືກສ້າງໂດຍອັດຕະໂນມັດເມື່ອຊ່ອງຂໍ້ມູນໃໝ່ປາກົດຢູ່ໃນຂໍ້ຄວາມ; ການຕັ້ງຄ່າຊ່ອງຂໍ້ມູນ ແລະປະເພດຂອງພວກມັນສາມາດເບິ່ງໄດ້ໃນແຜນທີ່.

ຖ້າທ່ານມີການກວດສອບຄວາມຖືກຕ້ອງ (ພວກເຮົາຈະເບິ່ງໃນພາຍຫຼັງ), ຂໍ້ມູນປະຈໍາຕົວສໍາລັບການຂຽນໃສ່ດັດຊະນີສະເພາະຕ້ອງໄດ້ຮັບການລະບຸ, ໃນຕົວຢ່າງນີ້ແມ່ນ "tssolution" ກັບລະຫັດຜ່ານ "ເຢັນ". ທ່ານ​ສາ​ມາດ​ຈໍາ​ແນກ​ສິດ​ທິ​ຜູ້​ໃຊ້​ໃນ​ການ​ຂຽນ​ບັນ​ທຶກ​ພຽງ​ແຕ່​ກັບ​ດັດ​ຊະ​ນີ​ສະ​ເພາະ​ໃດ​ຫນຶ່ງ​ແລະ​ບໍ່​ມີ​ຫຼາຍ​.

ເປີດຕົວ Logstash.

ໄຟລ໌ການຕັ້ງຄ່າ Logstash:

input 
{
         tcp 
         {
                port => 5555
  	  	type => "checkpoint"
    		mode => "server"
                host => “10.10.1.205”
   	 }
}

filter {
        if [type] == "checkpoint"{
	kv {
		value_split => "="
		allow_duplicate_values => false
	}
        }
}

output 
{
if [type] == "checkpoint"
{
 	elasticsearch 
        {
		hosts => ["10.10.1.200:9200"]
		index => "checkpoint-%{+YYYY.MM.dd}"
    		user => "tssolution"
    		password => "cool"
  	}
}
}

ພວກເຮົາກວດເບິ່ງໄຟລ໌ການຕັ້ງຄ່າສໍາລັບຄວາມຖືກຕ້ອງ:
/usr/share/logstash/bin//logstash -f checkpoint.conf


ເລີ່ມຂະບວນການ Logstash:
sudo systemctl ເລີ່ມຕົ້ນ logstash

ພວກເຮົາກວດເບິ່ງວ່າຂະບວນການໄດ້ເລີ່ມຕົ້ນແລ້ວ:
sudo systemctl ສະຖານະ logstash

ໃຫ້ກວດເບິ່ງວ່າເຕົ້າສຽບແມ່ນຂຶ້ນ:
netstat -nat |grep 5555

ການ​ກວດ​ສອບ​ບັນ​ທຶກ​ໃນ Kibana​.

ຫຼັງຈາກທີ່ທຸກສິ່ງທຸກຢ່າງກໍາລັງແລ່ນ, ໄປທີ່ Kibana - ຄົ້ນພົບ, ໃຫ້ແນ່ໃຈວ່າທຸກສິ່ງທຸກຢ່າງຖືກຕັ້ງຄ່າຢ່າງຖືກຕ້ອງ, ຮູບພາບສາມາດຄລິກໄດ້!

ບັນທຶກທັງຫມົດຢູ່ໃນສະຖານທີ່ແລະພວກເຮົາສາມາດເບິ່ງທົ່ງນາທັງຫມົດແລະຄຸນຄ່າຂອງມັນ!

ສະຫລຸບ

ພວກເຮົາໄດ້ເບິ່ງວິທີການຂຽນໄຟລ໌ການຕັ້ງຄ່າ Logstash, ແລະເປັນຜົນທີ່ພວກເຮົາໄດ້ຮັບຕົວວິເຄາະຂອງຊ່ອງຂໍ້ມູນແລະຄ່າທັງຫມົດ. ໃນປັດຈຸບັນພວກເຮົາສາມາດເຮັດວຽກກັບການຄົ້ນຫາແລະວາງແຜນສໍາລັບຂົງເຂດສະເພາະ. ຕໍ່ໄປໃນຫຼັກສູດພວກເຮົາຈະເບິ່ງການເບິ່ງເຫັນໃນ Kibana ແລະສ້າງ dashboard ງ່າຍດາຍ. ມັນເປັນມູນຄ່າທີ່ກ່າວເຖິງວ່າໄຟລ໌ການຕັ້ງຄ່າ Logstash ຕ້ອງໄດ້ຮັບການປັບປຸງຢ່າງຕໍ່ເນື່ອງໃນບາງສະຖານະການ, ຕົວຢ່າງ, ເມື່ອພວກເຮົາຕ້ອງການປ່ຽນຄ່າຂອງພາກສະຫນາມຈາກຕົວເລກໄປຫາຄໍາ. ໃນບົດຄວາມຕໍ່ໄປພວກເຮົາຈະເຮັດສິ່ງນີ້ຢ່າງຕໍ່ເນື່ອງ.

ສະນັ້ນຢູ່ຕິດຕາມ (ໂທລະເລກ, ເຟສບຸກ, VK, TS Solution Blog), Yandex.Zen.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com