🥇ການຕິດຕາມການປ່ຽນແປງໄຟລ໌ໂດຍໃຊ້ການແຈ້ງເຕືອນ OpenDistro ສໍາລັບ Elasticsearch

ໃນມື້ນີ້ມີຄວາມຕ້ອງການທີ່ຈະຕິດຕາມການປ່ຽນແປງຂອງໄຟລ໌ທີ່ແນ່ນອນຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ, ມີຫຼາຍວິທີທີ່ແຕກຕ່າງກັນ, ສໍາລັບການຍົກຕົວຢ່າງ ຂໍ້ມູນຈາກເຟສບຸກ, ແຕ່ນັບຕັ້ງແຕ່ຂ້າພະເຈົ້າບໍ່ດົນມານີ້ໄດ້ເລີ່ມຕົ້ນການນໍາໃຊ້ ເປີດ Distro ສໍາລັບ Elasticsearch ການຕັດສິນໃຈທີ່ຈະຕິດຕາມກວດກາໄຟລ໌ທີ່ມີ elastic, ຫນຶ່ງໃນລາວ ຕີ.

ຂ້າພະເຈົ້າຈະບໍ່ອະທິບາຍການຕິດຕັ້ງ Elastics stack ແລະ Auditbeat, ທຸກສິ່ງທຸກຢ່າງແມ່ນອີງຕາມຄູ່ມື, ສິ່ງດຽວແມ່ນ, ຫຼັງຈາກການຕິດຕັ້ງ, ແກ້ໄຂໄຟລ໌ auditbeat.yml, ກັບໂມດູນ file_integity ເພີ່ມເສັ້ນທາງໄປຫາໄຟລ໌ທີ່ຕິດຕາມ.

ຫຼັງຈາກການຕັ້ງຄ່າແລະການເປີດຕົວ, ດັດຊະນີຈະປາກົດຢູ່ໃນ kibana ກວດສອບ-*

ຕໍ່ໄປ, ພວກເຮົາສ້າງການຕິດຕາມກວດກາ, ລະບຸຊື່ການຕິດຕາມ, ກວດສອບໄລຍະຫ່າງ, ເຊັ່ນດຽວກັນກັບປະເພດການຕິດຕາມກວດກາແລະໄຟລ໌ດັດຊະນີ:

в ກໍານົດການສອບຖາມການສະກັດເອົາ ພວກເຮົາຂຽນຕໍ່ໄປນີ້:

ກໍານົດການສອບຖາມການສະກັດເອົາ

{
    "query": {
        "bool": {
            "must": [
                {
                    "match_phrase": {
                        "file.path": {
                            "query": "<путь/к отслеживаемому файлу>"

                        }
                    }
                }
            ],
            "filter": [
                {
                    "term": {
                        "event.action": {
                            "value": "attributes_modified"    #изменения атрибутов, возможно created  или deleted

                        }
                    }
                },
                {
                    "range": {
                        "@timestamp": {
                            "from": "now-1m" #период за который отслеживаем изменение 

                        }
                    }
                }
            ],
            "adjust_pure_negative": true,
            "boost": 1
        }
    }
}

ຫຼັງຈາກນັ້ນ, ໃຫ້ຄລິກໃສ່ປຸ່ມດໍາເນີນການແລະກວດສອບການຮ້ອງຂໍ, ນີ້ຄວນຈະປະກົດວ່າ: