Instalación e implementación del sistema de auditoría de registros ELK

1. Instalar el entorno Java

El sistema ELK está desarrollado en base a Java, por lo que primero se debe instalar el entorno Java. Puede descargar el JDK del sitio web oficial de Oracle o instalarlo mediante el comando apt-get.

2. Instala Elasticsearch

Elasticsearch es un componente central del sistema ELK para almacenar e indexar datos de registro. Puede descargar el paquete .deb o .rpm desde el sitio web oficial de Elasticsearch, o instalarlo mediante el comando apt-get o yum.

3. Configurar Elasticsearch

Modifique el archivo de configuración /etc/elasticsearch/elasticsearch.yml y modifique los siguientes parámetros:

cluster.name: elk-logs     #集群名称
node.name: node-1           #节点名称
network.host: 0.0.0.0       #监听所有地址
http.port: 9200             #HTTP端口

4. Inicie Elasticsearch

Inicie el servicio Elasticsearch con el comando systemctl:

systemctl start elasticsearch

5. Instalar Logstash

Logstash se utiliza para recopilar, filtrar y transformar varios tipos de datos de registro y luego enviarlos a Elasticsearch para su almacenamiento e indexación. Puede descargar el paquete .deb o .rpm desde el sitio web oficial de Logstash, o instalarlo mediante el comando apt-get o yum.

6. Configurar Logstash

Modifique el archivo de configuración /etc/logstash/conf.d/logstash.conf y agregue lo siguiente:

input {
  beats {
    port => "5044"
  }
}

filter {
  # 过滤规则
}

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "logs-%{+YYYY.MM.dd}"
  }
}

Entre ellos, la entrada es la fuente de entrada especificada, el filtro es la regla de filtro especificada y la salida es la fuente de salida especificada, que se envía a Elasticsearch aquí.

7. Inicie Logstash

Inicie el servicio Logstash usando el comando systemctl:

systemctl start logstash

8. Instalar Kibana

Kibana es un componente visual del sistema ELK, que se utiliza para mostrar y consultar datos de registro almacenados en Elasticsearch. Puede descargar el paquete .deb o .rpm desde el sitio web oficial de Kibana, o instalarlo mediante el comando apt-get o yum.

9. Configurar Kibana

Modifique el archivo de configuración /etc/kibana/kibana.yml y modifique los siguientes parámetros:

server.host: "0.0.0.0"
elasticsearch.hosts: ["http://localhost:9200"]

10. Iniciar Kibana

Inicie el servicio Kibana con el comando systemctl:

systemctl start kibana

11. Acceso a Kibana

Abra el navegador, visite http://localhost:5601 e ingrese a la interfaz de Kibana.

Los anteriores son los pasos de instalación e implementación del sistema de auditoría de registros ELK. Cabe señalar que la implementación real debe configurarse y ajustarse de acuerdo con la situación real.