Elastic Stack 6 : Auditbeat インストール2018/02/12 |
監査アクションの監視機能を提供する Auditbeat をインストールします。
|
|
[1] | Auditbeat をインストールします。 事前に Elasticsearch リポジトリ設定済みであることが前提です。 |
[root@dlp ~]# yum -y install auditbeat
|
[2] | 基本的な設定をして Auditbeat を起動します。 |
[root@dlp ~]#
vi /etc/auditbeat/auditbeat.yml # 13行目:監査アクションの設定 (書式は auditctl と同じ) - module: auditd audit_rules: | ## Define audit rules here. ## Create file watches (-w) or syscall audits (-a or -A). Uncomment these ## examples or add your own rules. ## If you are on a 64 bit platform, everything should be running ## in 64 bit mode. This rule will detect any use of the 32 bit syscalls ## because this might be a sign of someone exploiting a hole in the 32 ## bit API. #-a always,exit -F arch=b32 -S all -F key=32bit-abi ## Executions. #-a always,exit -F arch=b64 -S execve,execveat -k exec ## External access (warning: these can be expensive to audit). #-a always,exit -F arch=b64 -S accept,bind,connect -F key=external-access ## Identity changes. #-w /etc/group -p wa -k identity #-w /etc/passwd -p wa -k identity #-w /etc/gshadow -p wa -k identity ..... ..... # 88行目:Kibana を使用する場合はコメント解除して出力先を指定 # Kibana で SSL 有効の場合は証明書に登録したホスト名と合わせる
setup.kibana:
.....
host: "https://dlp.srv.world:5601"
# 114行目:出力先を指定する # デフォルト出力先は以下のように localhost の Elasticsearch # Logstash に出力する場合はコメントアウトして output.logstash 行関連を有効にする output.elasticsearch: # Array of hosts to connect to.l hosts: ["localhost:9200"] ..... ..... #output.logstash: # The Logstash hosts #hosts: ["localhost:5044"]
[root@dlp ~]#
vi /etc/auditbeat/auditbeat.reference.yml # 34行目:auditd モジュールの基本設定 - module: auditd resolve_ids: true failure_mode: silent backlog_limit: 8196 rate_limit: 0 include_raw_message: false include_warnings: false audit_rules: | ..... .....[root@dlp ~]# systemctl start auditbeat [root@dlp ~]# systemctl enable auditbeat
|
[3] | データが取り込まれているか確認しておきます。 |
# index 一覧 [root@dlp ~]# curl localhost:9200/_cat/indices?v health status index uuid pri rep docs.count docs.deleted store.size pri.store.size yellow open filebeat-6.2.1-2018.02.14 uzqg8... 3 1 30107 0 4mb 4mb yellow open sshd_fail-2018.02 ghhQe... 5 1 69 0 265.9kb 265.9kb yellow open packetbeat-6.2.1-2018.02.14 -O8vG... 3 1 8182 0 2.1mb 2.1mb green open .kibana sV0Ds... 1 0 412 0 497.1kb 497.1kb yellow open auditbeat-6.2.1-2018.02.14 aECFl... 3 1 1384 0 734.7kb 734.7kb yellow open test_index CIPjY... 5 1 1 0 6kb 6kb yellow open heartbeat-6.2.1-2018.02.14 29OqT... 1 1 206 0 126.6kb 126.6kb yellow open metricbeat-6.2.1-2018.02.14 OhrZT... 1 1 32561 0 5.9mb 5.9mb # indexのドキュメント一覧 [root@dlp ~]# curl localhost:9200/auditbeat-6.2.1-2018.02.14/_search?pretty { "took" : 4, "timed_out" : false, "_shards" : { "total" : 3, "successful" : 3, "skipped" : 0, "failed" : 0 }, "hits" : { "total" : 1384, "max_score" : 1.0, "hits" : [ { "_index" : "auditbeat-6.2.1-2018.02.14", "_type" : "doc", ..... ..... |
[4] | Kibana を稼働させている場合は、サンプルダッシュボードへのデータインポートが可能です。 |
[root@dlp ~]# auditbeat setup --dashboards Loaded dashboards |
Sponsored Link |
|