Elastic Stack ເປັນເຄື່ອງມືທີ່ມີຊື່ສຽງໃນຕະຫຼາດລະບົບ SIEM (ຕົວຈິງແລ້ວ, ບໍ່ພຽງແຕ່ພວກມັນ). ມັນ​ສາ​ມາດ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ຫຼາຍ​ຂະ​ຫນາດ​ທີ່​ແຕກ​ຕ່າງ​ກັນ​, ທັງ​ທີ່​ລະ​ອຽດ​ອ່ອນ​ແລະ​ບໍ່​ມີ​ຄວາມ​ອ່ອນ​ໄຫວ​ຫຼາຍ​. ມັນບໍ່ຖືກຕ້ອງທັງຫມົດຖ້າການເຂົ້າເຖິງອົງປະກອບ Elastic Stack ດ້ວຍຕົວເອງບໍ່ໄດ້ຮັບການປົກປ້ອງ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ອົງປະກອບ Elastic out-of-the-box (Elasticsearch, Logstash, Kibana, ແລະ Beats collectors) ດໍາເນີນການຢູ່ໃນໂປໂຕຄອນເປີດ. ແລະໃນ Kibana ຕົວຂອງມັນເອງ, ການພິສູດຢືນຢັນຖືກປິດໃຊ້ງານ. ການໂຕ້ຕອບທັງຫມົດເຫຼົ່ານີ້ສາມາດຮັບປະກັນໄດ້ແລະໃນບົດຄວາມນີ້ພວກເຮົາຈະບອກທ່ານກ່ຽວກັບວິທີເຮັດສິ່ງນີ້. ເພື່ອຄວາມສະດວກ, ພວກເຮົາແບ່ງການເທື່ອເນື່ອງຈາກເປັນ 3 ຕັນ semantic:

• ຮູບແບບການເຂົ້າເຖິງຂໍ້ມູນໂດຍອີງໃສ່ບົດບາດ
• ຄວາມປອດໄພຂອງຂໍ້ມູນພາຍໃນກຸ່ມ Elasticsearch
• ການຮັກສາຂໍ້ມູນທີ່ຢູ່ນອກກຸ່ມ Elasticsearch

ລາຍລະອຽດພາຍໃຕ້ການຕັດ.

ຮູບແບບການເຂົ້າເຖິງຂໍ້ມູນໂດຍອີງໃສ່ບົດບາດ

ຖ້າທ່ານຕິດຕັ້ງ Elasticsearch ແລະບໍ່ປັບມັນໃນທາງໃດກໍ່ຕາມ, ການເຂົ້າເຖິງດັດສະນີທັງຫມົດຈະເປີດໃຫ້ທຸກຄົນ. ດີ, ຫຼືຜູ້ທີ່ສາມາດນໍາໃຊ້ curl. ເພື່ອຫຼີກເວັ້ນການນີ້, Elasticsearch ມີຮູບແບບພາລະບົດບາດທີ່ມີຢູ່ເລີ່ມຕົ້ນດ້ວຍການສະຫມັກພື້ນຖານ (ເຊິ່ງບໍ່ເສຍຄ່າ). ຕາມ​ແຜນ​ການ​ມັນ​ເບິ່ງ​ຄື​ແນວ​ນີ້​:

ແມ່ນຫຍັງຢູ່ໃນຮູບ

• ຜູ້ໃຊ້ແມ່ນທຸກຄົນທີ່ສາມາດເຂົ້າສູ່ລະບົບໂດຍໃຊ້ຂໍ້ມູນປະຈໍາຂອງເຂົາເຈົ້າ.
• ບົດບາດແມ່ນຊຸດຂອງສິດທິ.
• ສິດທິແມ່ນຊຸດຂອງສິດທິພິເສດ.
• ສິດທິພິເສດແມ່ນການອະນຸຍາດໃຫ້ຂຽນ, ອ່ານ, ລຶບ, ແລະອື່ນໆ. (ບັນຊີລາຍຊື່ເຕັມຂອງສິດທິພິເສດ)
• ຊັບພະຍາກອນແມ່ນດັດສະນີ, ເອກະສານ, ພາກສະຫນາມ, ຜູ້ໃຊ້, ແລະຫນ່ວຍງານການເກັບຮັກສາອື່ນໆ (ຕົວແບບສໍາລັບບາງຊັບພະຍາກອນແມ່ນມີພຽງແຕ່ການສະຫມັກທີ່ຈ່າຍ).

ໂດຍຄ່າເລີ່ມຕົ້ນ Elasticsearch ມີ ຜູ້ໃຊ້ກ່ອງ, ທີ່ເຂົາເຈົ້າໄດ້ຖືກຄັດຕິດ ບົດບາດຂອງກ່ອງ. ເມື່ອທ່ານເປີດໃຊ້ການຕັ້ງຄ່າຄວາມປອດໄພ, ທ່ານສາມາດເລີ່ມໃຊ້ພວກມັນໄດ້ທັນທີ.

ເພື່ອເປີດໃຊ້ຄວາມປອດໄພໃນການຕັ້ງຄ່າ Elasticsearch, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມມັນໃສ່ໄຟລ໌ການຕັ້ງຄ່າ (ໂດຍຄ່າເລີ່ມຕົ້ນນີ້ແມ່ນ. elasticsearch/config/elasticsearch.yml) ສາຍ​ໃຫມ່​:

xpack.security.enabled: true

ຫຼັງຈາກການປ່ຽນແປງໄຟລ໌ການຕັ້ງຄ່າ, ເປີດຕົວຫຼື restart Elasticsearch ເພື່ອໃຫ້ການປ່ຽນແປງມີຜົນ. ຂັ້ນຕອນຕໍ່ໄປແມ່ນການມອບໝາຍລະຫັດຜ່ານໃຫ້ຜູ້ໃຊ້ກ່ອງ. ໃຫ້ເຮັດອັນນີ້ແບບໂຕ້ຕອບໂດຍໃຊ້ຄໍາສັ່ງຂ້າງລຸ່ມນີ້:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-setup-passwords interactive
Initiating the setup of passwords for reserved users elastic,apm_system,kibana,logstash_system,beats_system,remote_monitoring_user.
You will be prompted to enter passwords as the process progresses.
Please confirm that you would like to continue [y/N]y


Enter password for [elastic]:
Reenter password for [elastic]:
Enter password for [apm_system]:
Reenter password for [apm_system]:
Enter password for [kibana]:
Reenter password for [kibana]:
Enter password for [logstash_system]:
Reenter password for [logstash_system]:
Enter password for [beats_system]:
Reenter password for [beats_system]:
Enter password for [remote_monitoring_user]:
Reenter password for [remote_monitoring_user]:
Changed password for user [apm_system]
Changed password for user [kibana]
Changed password for user [logstash_system]
Changed password for user [beats_system]
Changed password for user [remote_monitoring_user]
Changed password for user [elastic]

ພວກເຮົາກວດເບິ່ງ:

[elastic@node1 ~]$ curl -u elastic 'node1:9200/_cat/nodes?pretty'
Enter host password for user 'elastic':
192.168.0.2 23 46 14 0.28 0.32 0.18 dim * node1

ທ່ານສາມາດ pat ຕົວທ່ານເອງຢູ່ດ້ານຫລັງ - ການຕັ້ງຄ່າຢູ່ດ້ານ Elasticsearch ແມ່ນສໍາເລັດ. ໃນປັດຈຸບັນມັນເຖິງເວລາທີ່ຈະ configure Kibana. ຖ້າທ່ານດໍາເນີນການມັນໃນປັດຈຸບັນ, ຂໍ້ຜິດພາດຈະປາກົດ, ດັ່ງນັ້ນມັນເປັນສິ່ງສໍາຄັນທີ່ຈະສ້າງຮ້ານທີ່ສໍາຄັນ. ນີ້ແມ່ນເຮັດໃນສອງຄໍາສັ່ງ (ຜູ້ໃຊ້ ຄິບານາ ແລະລະຫັດຜ່ານທີ່ໃສ່ໃນຂັ້ນຕອນການສ້າງລະຫັດຜ່ານໃນ Elasticsearch):

[elastic@node1 ~]$ ./kibana/bin/kibana-keystore add elasticsearch.username
[elastic@node1 ~]$ ./kibana/bin/kibana-keystore add elasticsearch.password

ຖ້າທຸກຢ່າງຖືກຕ້ອງ, Kibana ຈະເລີ່ມຖາມຫາການເຂົ້າສູ່ລະບົບ ແລະລະຫັດຜ່ານ. ການສະໝັກໃຊ້ພື້ນຖານລວມມີຕົວແບບທີ່ອີງໃສ່ຜູ້ໃຊ້ພາຍໃນ. ເລີ່ມຕົ້ນດ້ວຍຄໍາ, ທ່ານສາມາດເຊື່ອມຕໍ່ລະບົບການກວດສອບພາຍນອກ - LDAP, PKI, Active Directory ແລະລະບົບການເຂົ້າສູ່ລະບົບດຽວ.

ສິດການເຂົ້າເຖິງວັດຖຸພາຍໃນ Elasticsearch ຍັງສາມາດຖືກຈໍາກັດ. ຢ່າງໃດກໍຕາມ, ເພື່ອເຮັດເຊັ່ນດຽວກັນສໍາລັບເອກະສານຫຼືພາກສະຫນາມ, ທ່ານຈະຕ້ອງການສະຫມັກທີ່ຈ່າຍ (ຟຸ່ມເຟືອຍນີ້ເລີ່ມຕົ້ນດ້ວຍລະດັບ Platinum). ການຕັ້ງຄ່າເຫຼົ່ານີ້ແມ່ນມີຢູ່ໃນການໂຕ້ຕອບ Kibana ຫຼືຜ່ານ API ຄວາມປອດໄພ. ທ່ານສາມາດກວດເບິ່ງຜ່ານເມນູ Dev Tools ທີ່ຄຸ້ນເຄີຍແລ້ວ:

ການສ້າງບົດບາດ

PUT /_security/role/ruslan_i_ludmila_role
{
  "cluster": [],
  "indices": [
    {
      "names": [ "ruslan_i_ludmila" ],
      "privileges": ["read", "view_index_metadata"]
    }
  ]
}

ການສ້າງຜູ້ໃຊ້

POST /_security/user/pushkin
{
  "password" : "nataliaonelove",
  "roles" : [ "ruslan_i_ludmila_role", "kibana_user" ],
  "full_name" : "Alexander Pushkin",
  "email" : "[email protected]",
  "metadata" : {
    "hometown" : "Saint-Petersburg"
  }
}

ຄວາມປອດໄພຂອງຂໍ້ມູນພາຍໃນກຸ່ມ Elasticsearch

ເມື່ອ Elasticsearch ແລ່ນຢູ່ໃນກຸ່ມ (ເຊິ່ງເປັນເລື່ອງທົ່ວໄປ), ການຕັ້ງຄ່າຄວາມປອດໄພພາຍໃນກຸ່ມຈະກາຍເປັນເລື່ອງສໍາຄັນ. ສໍາລັບການສື່ສານທີ່ປອດໄພລະຫວ່າງ nodes, Elasticsearch ໃຊ້ໂປໂຕຄອນ TLS. ເພື່ອຕັ້ງຄ່າການໂຕ້ຕອບທີ່ປອດໄພລະຫວ່າງພວກເຂົາ, ທ່ານຈໍາເປັນຕ້ອງມີໃບຢັ້ງຢືນ. ພວກເຮົາສ້າງໃບຢັ້ງຢືນ ແລະກະແຈສ່ວນຕົວໃນຮູບແບບ PEM:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil ca --pem

ຫຼັງຈາກປະຕິບັດຄໍາສັ່ງຂ້າງເທິງ, ໃນໄດເລກະທໍລີ /../elasticsearch ແຟ້ມຈັດເກັບຈະປາກົດ elastic-stack-ca.zip. ພາຍໃນນັ້ນເຈົ້າຈະພົບເຫັນໃບຮັບຮອງ ແລະກະແຈສ່ວນຕົວທີ່ມີສ່ວນຂະຫຍາຍ crt и ທີ່ສໍາຄັນ ຕາມລໍາດັບ. ມັນສົມຄວນທີ່ຈະໃຫ້ພວກເຂົາຢູ່ໃນຊັບພະຍາກອນທີ່ແບ່ງປັນ, ເຊິ່ງຄວນຈະສາມາດເຂົ້າເຖິງໄດ້ຈາກທຸກ nodes ໃນ cluster.

ໃນປັດຈຸບັນແຕ່ລະ node ຕ້ອງການໃບຢັ້ງຢືນຂອງຕົນເອງແລະກະແຈສ່ວນຕົວໂດຍອີງໃສ່ບັນດາທີ່ຢູ່ໃນໄດເລກະທໍລີທີ່ແບ່ງປັນ. ເມື່ອປະຕິບັດຄໍາສັ່ງ, ທ່ານຈະຖືກຮ້ອງຂໍໃຫ້ຕັ້ງລະຫັດຜ່ານ. ທ່ານສາມາດເພີ່ມຕົວເລືອກເພີ່ມເຕີມ -ip ແລະ -dns ສໍາລັບການຢັ້ງຢືນຄົບຖ້ວນສົມບູນຂອງຂໍ້ໂຕ້ຕອບ.

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil cert --ca-cert /shared_folder/ca/ca.crt --ca-key /shared_folder/ca/ca.key

ເປັນຜົນມາຈາກການປະຕິບັດຄໍາສັ່ງ, ພວກເຮົາຈະໄດ້ຮັບໃບຢັ້ງຢືນແລະລະຫັດສ່ວນຕົວໃນຮູບແບບ PKCS#12, ປ້ອງກັນໂດຍລະຫັດຜ່ານ. ທັງຫມົດທີ່ຍັງເຫຼືອແມ່ນເພື່ອຍ້າຍໄຟລ໌ທີ່ສ້າງຂຶ້ນ p12 ໄປທີ່ໄດເລກະທໍລີການຕັ້ງຄ່າ:

[elastic@node1 ~]$ mv elasticsearch/elastic-certificates.p12 elasticsearch/config

ເພີ່ມລະຫັດຜ່ານໃສ່ໃບຢັ້ງຢືນໃນຮູບແບບ p12 ໃນ keystore ແລະ truststore ໃນແຕ່ລະ node:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.keystore.secure_password
[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.transport.ssl.truststore.secure_password

ຮູ້ຈັກແລ້ວ elasticsearch.yml ທັງໝົດທີ່ຍັງເຫຼືອແມ່ນການເພີ່ມສາຍທີ່ມີຂໍ້ມູນໃບຢັ້ງຢືນ:

xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12

ພວກເຮົາເປີດທຸກ nodes Elasticsearch ແລະດໍາເນີນການ curl. ຖ້າທຸກສິ່ງທຸກຢ່າງຖືກເຮັດຢ່າງຖືກຕ້ອງ, ຄໍາຕອບທີ່ມີຫຼາຍ nodes ຈະຖືກສົ່ງຄືນ:

[elastic@node1 ~]$ curl node1:9200/_cat/nodes -u elastic:password                                                                                    
172.18.0.3 43 75 4 0.00 0.05 0.05 dim * node2                                                                                                                     
172.18.0.4 21 75 3 0.00 0.05 0.05 dim - node3                                                                                                                     
172.18.0.2 39 75 4 0.00 0.05 0.05 dim - node1

ມີທາງເລືອກຄວາມປອດໄພອີກອັນຫນຶ່ງ - ການກັ່ນຕອງທີ່ຢູ່ IP (ມີຢູ່ໃນການສະຫມັກຈາກລະດັບຄໍາ). ອະນຸຍາດໃຫ້ທ່ານສ້າງບັນຊີລາຍຊື່ສີຂາວຂອງທີ່ຢູ່ IP ທີ່ທ່ານໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າເຖິງ nodes.

ການຮັກສາຂໍ້ມູນທີ່ຢູ່ນອກກຸ່ມ Elasticsearch

ພາຍນອກກຸ່ມຫມາຍເຖິງການເຊື່ອມຕໍ່ເຄື່ອງມືພາຍນອກ: Kibana, Logstash, Beats ຫຼືລູກຄ້າພາຍນອກອື່ນໆ.

ເພື່ອຕັ້ງຄ່າການຮອງຮັບ https (ແທນທີ່ຈະເປັນ http), ເພີ່ມແຖວໃໝ່ໃສ່ elasticsearch.yml:

xpack.security.http.ssl.enabled: true
xpack.security.http.ssl.keystore.path: elastic-certificates.p12
xpack.security.http.ssl.truststore.path: elastic-certificates.p12

ເນື່ອງຈາກວ່າ ໃບຢັ້ງຢືນຖືກປ້ອງກັນດ້ວຍລະຫັດຜ່ານ, ເພີ່ມມັນໃສ່ keystore ແລະ truststore ໃນແຕ່ລະ node:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.keystore.secure_password
[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-keystore add xpack.security.http.ssl.truststore.secure_password

ຫຼັງຈາກເພີ່ມກະແຈ, Elasticsearch nodes ພ້ອມທີ່ຈະເຊື່ອມຕໍ່ຜ່ານ https. ໃນປັດຈຸບັນພວກເຂົາສາມາດເປີດຕົວໄດ້.

ຂັ້ນຕອນຕໍ່ໄປແມ່ນການສ້າງກະແຈເພື່ອເຊື່ອມຕໍ່ Kibana ແລະເພີ່ມມັນເຂົ້າໃນການຕັ້ງຄ່າ. ອີງ​ຕາມ​ໃບ​ຢັ້ງ​ຢືນ​ທີ່​ມີ​ຢູ່​ແລ້ວ​ໃນ​ລະ​ບົບ​ທີ່​ແບ່ງ​ປັນ​, ພວກ​ເຮົາ​ຈະ​ສ້າງ​ໃບ​ຢັ້ງ​ຢືນ​ໃນ​ຮູບ​ແບບ PEM (PKCS #12 Kibana​, Logstash ແລະ Beats ຍັງ​ບໍ່​ໄດ້​ສະ​ຫນັບ​ສະ​ຫນູນ​)​:

[elastic@node1 ~]$ ./elasticsearch/bin/elasticsearch-certutil cert --ca-cert /shared_folder/ca/ca.crt --ca-key /shared_folder/ca/ca.key --pem

ທັງໝົດທີ່ຍັງເຫຼືອຄືການຖອດກະແຈທີ່ສ້າງຂຶ້ນໃສ່ໃນໂຟນເດີດ້ວຍການຕັ້ງຄ່າ Kibana:

[elastic@node1 ~]$ unzip elasticsearch/certificate-bundle.zip -d kibana/config

ກະແຈຢູ່ທີ່ນັ້ນ, ສະນັ້ນສິ່ງທີ່ຍັງເຫຼືອແມ່ນການປ່ຽນແປງການຕັ້ງຄ່າ Kibana ເພື່ອໃຫ້ມັນເລີ່ມໃຊ້ພວກມັນ. ໃນໄຟລ໌ການຕັ້ງຄ່າ kibana.yml, ປ່ຽນ http ເປັນ https ແລະເພີ່ມສາຍດ້ວຍການຕັ້ງຄ່າການເຊື່ອມຕໍ່ SSL. ສາມແຖວສຸດທ້າຍກໍານົດການສື່ສານທີ່ປອດໄພລະຫວ່າງຕົວທ່ອງເວັບຂອງຜູ້ໃຊ້ແລະ Kibana.

elasticsearch.hosts: ["https://${HOSTNAME}:9200"]
elasticsearch.ssl.certificateAuthorities: /shared_folder/ca/ca.crt
elasticsearch.ssl.verificationMode: certificate
server.ssl.enabled: true
server.ssl.key: /../kibana/config/instance/instance.key
server.ssl.certificate: /../kibana/config/instance/instance.crt

ດັ່ງນັ້ນ, ການຕັ້ງຄ່າແມ່ນສໍາເລັດແລະການເຂົ້າເຖິງຂໍ້ມູນໃນກຸ່ມ Elasticsearch ຖືກເຂົ້າລະຫັດ.

ຖ້າທ່ານມີຄໍາຖາມກ່ຽວກັບຄວາມສາມາດຂອງ Elastic Stack ໃນການສະຫມັກຟຣີຫຼືຈ່າຍ, ຕິດຕາມວຽກງານຫຼືການສ້າງລະບົບ SIEM, ອອກຈາກຄໍາຮ້ອງຂໍໃຫ້. ແບບຟອມຄໍາຄຶດຄໍາເຫັນ ຢູ່ໃນເວັບໄຊທ໌້ຂອງພວກເຮົາ.

ບົດຄວາມຂອງພວກເຮົາເພີ່ມເຕີມກ່ຽວກັບ Elastic Stack on Habre:

ຄວາມເຂົ້າໃຈການຮຽນຮູ້ເຄື່ອງຈັກໃນ Elastic Stack (aka Elasticsearch, aka ELK)

Elasticsearch ຂະຫນາດ

ແຫຼ່ງຂໍ້ມູນ: www.habr.com