Nach dem Anschauen Wie wir Erdmännchen installieren und haben es funktionsfähig gelassen, Jetzt ist es an der Zeit, mit Ihren Daten umzugehen und sie auf eine freundlichere Art und Weise zu visualisieren, dafür werden wir auf Grafana als Visualizer setzen, obwohl Sie es mit Kibana auf die gleiche Weise tun können (oder einfacher). All dies dank der Tatsache, dass wir die Erdmännchen-LOGs in Elasticsearch speichern werden.

Der Prozess ist wirklich einfach, Auf dem Rechner, auf dem Suricata läuft, installieren wir Filebeat, um die Protokolldatei zu sammeln und direkt an Elasticsearch zu senden, Danach aktivieren wir das Erdmännchen-Modul und konfigurieren es. Sobald wir es fertig haben, Sollte unsere Elasticsearch damit beginnen, diese Protokolle zu speichern., und mit Grafana, um sie verwerten zu können, oder mit Kibana, los.

Wir öffnen unsere Kibana, Im linken Menü gehen wir auf die “IMMER” > “Hinzufügen von Daten mit Beats” > “Meerkata-Protokolle” Und es wird uns alle Details dessen geben, was wir brauchen. Diese URL lautet: HTTP (Englisch)://IP_ELASTIC_SEARCH:5601/app/kibana#/home/tutorial/smericaLogs

Wir positionieren uns auf dem “1_I386.DEB” (In meinem Fall, da Meerkata unter Debian Buster läuft) Und wie wir sehen können, ist es perfekt erklärt.

Installieren von Filebeats:

curl -L -O https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.7.0-amd64.deb dpkg -i filebeat-7.7.0-amd64.deb

Bearbeiten der Filebeat-Konfigurationsdatei (/usw./filebeat/filebeat.yml), Wir geben den Namen des Index an, der in Elasticsearch verwendet werden soll, sowie wenn wir Kibana haben und die Standard-Dashboards importieren möchten:

#================ Einstellung der Elasticsearch-Vorlage ====================
...
setup.template.name: "Erdmännchen"
setup.template.pattern: "Erdmännchen-*"
setup.dashboards.index: "Erdmännchen-*"
setup.ilm.enabled: FALSCH
...
setup.kibana:
  Gastgeber: "FQDN_O_DIRECCION_IP_KIBANA:5601"
...
#---------------------- Elasticsearch-Ausgabe ------------------------
Ausgabe.elasticsearch:
  # Array von Hosts, mit denen eine Verbindung hergestellt werden soll.
  Wirte: ["FQDN_O_DIRECCION_IP_ELASTICSEARCH:9200"]
  Index: "Erdmännchen-%{+yyyy. MM.dd}"
...

Wir aktivieren das Meerkat-Modul, Wir haben einige predeternubados Dashboards in Kibana de Meerkata erstellt, Wir booten den Filebeat-Daemon und lassen ihn automatisch mit dem System starten.

filebeat-Module aktivieren Erdemat filebeat setup systemctl start filebeat systemctl enable filebeat.service systemctl status filebeat

Und ohne etwas anderes zu tun, können wir zu den Dashboards oder den Visualisierungen von Kibana gehen und die Daten sehen, die es von uns sammelt.

Wenn wir es in Grafana visualisieren wollen, Wie immer müssen wir eine Datenquelle erstellen, die auf den Erdmännchen-Index unserer Elasticsearch verweist, und wir werden in der Lage sein, die Diagramme nach Belieben zu erstellen, mit einfachen Abfragen, wie wir es von der Entdeckung unserer Kibana aus tun würden, Von der Vorstellungskraft zur Macht!

Und nichts, zum 5 In wenigen Minuten werden Sie in der Lage sein, Dashboards zu erstellen, die so einfach sind und es Ihnen ermöglichen, schnell zu visualisieren, was passiert, welche Computer auf welche zugreifen, Verbindungen anzeigen, etc…