Det har idag uppstÄtt ett behov av att övervaka Àndringar av vissa filer pÄ servern, det finns mÄnga olika sÀtt, till exempel , men eftersom jag nyligen har börjat anvÀnda bestÀmde jag mig för att övervaka filer med Elastic, en av dess .
Jag kommer inte att beskriva installationen av Elastic stack och Auditbeat, allt finns i manualerna. Det enda Àr att efter installationen redigera filen auditbeat.yml, i modulen file_integrity lÀgga till sökvÀgen till den fil som ska övervakas.
Efter konfiguration och start kommer indexet auditbeat-*
att dyka upp i Kibana. Vi skapar sedan övervakning, anger namn pÄ övervakningen, kontrollintervall samt typ av övervakning och indexfil:
pÄ Definiera extraktionsfrÄga skriver följande:
Definiera extraktionsfrÄga
{
"query": {
"bool": {
"must": [
{
"match_phrase": {
"file.path": {
"query": ""
}
}
}
],
"filter": [
{
"term": {
"event.action": {
"value": "attributes_modified" #Ă€ndringar av attribut, eventuellt created eller deleted
}
}
},
{
"range": {
"@timestamp": {
"from": "now-1m" #perioden för vilken vi övervakar Àndringen
}
}
}
],
"adjust_pure_negative": true,
"boost": 1
}
}
}Klicka sedan pÄ knappen Run och kontrollera frÄgan, det ska dyka upp sÄ hÀr:
Försök att Àndra mÄlfilen och kör frÄgan igen:
som ni ser hits har Àndrats till 2, klicka pÄ update och skapa en trigger för att Àndra vÀrdet:
LÀmna allt som pÄ bilden.
DÀrefter kan du stÀlla in notifieringar i Slack eller annan meddelandeapp.
KĂ€lla: habr.com
