Elasticsearch:Auditbeat を使用した監査データの収集とファイル変更の監視

前提条件

以下を完了してください：

• Alibaba Cloud Elasticsearch クラスターを作成します。

  詳細については、「Alibaba Cloud Elasticsearch クラスターの作成」をご参照ください。

• Alibaba Cloud Elasticsearch クラスターの 自動インデックス を有効にします。

  セキュリティ上の理由から、Alibaba Cloud Elasticsearch はデフォルトで 自動インデックス を許可していません。しかし、Beats はこの機能に依存しています。したがって、出力 が Elasticsearch に設定されている場合は、自動インデックス 機能を有効にする必要があります。詳細については、「クイックアクセスと設定」をご参照ください。

• ご利用の Alibaba Cloud Elasticsearch クラスターと同じ Virtual Private Cloud (VPC) 内に Elastic Compute Service (ECS) インスタンスを作成します。

  詳細については、「ウィザードを使用したインスタンスの作成」をご参照ください。

  重要

  Beats は現在、Alibaba Cloud Linux (Alinux)、RedHat、CentOS オペレーティングシステムのみをサポートしています。

• ターゲットの ECS インスタンスにクラウドアシスタントと Docker サービスをインストールします。

  詳細については、「クラウドアシスタントクライアントのインストール」および「Alibaba Cloud Linux 2 インスタンスでの Docker のデプロイと使用」をご参照ください。

操作手順

1. Alibaba Cloud Elasticsearch コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Beats データシッパー をクリックします。

3. シッパーの作成 セクションで、Auditbeat をクリックします。

4. シッパーをインストールして設定します。

   この例では、次の設定を使用します。詳細については、「Filebeat を使用した ECS サービスログの収集」および「シッパーの YML 設定」をご参照ください。[シッパー名] に zl-auditbeat などを入力し、[バージョン] に 6.8.5 などを選択し、[シッパーの出力先] に [Elasticsearch] を選択してターゲットインスタンスを指定し、[プロトコル] に [HTTP] を選択し、[ユーザー名] (例：elastic) と [パスワード] を入力します。

   説明

   • Kibana モニタリングの有効化 を選択すると、Kibana コンソールで Auditbeat サービスのモニタリングが有効になります。

   • Kibana ダッシュボードの有効化 を選択すると、追加の YML 設定なしで Kibana コンソールにチャートが生成されます。Alibaba Cloud Kibana は VPC 内で設定されているため、まず Kibana 設定ページで Kibana のプライベートネットワークアクセスを有効にする必要があります。詳細については、「Kibana を使用したクラスターへの接続」をご参照ください。

   以下のモジュール設定は、デフォルトの `auditbeat.yml` ファイルのものであり、変更は不要です：

   • Auditd モジュール設定

     - module: auditd
       # Load audit rules from separate files. Same format as audit.rules(7).
       audit_rule_files: [ '${path.config}/audit.rules.d/*.conf' ]
       audit_rules: |

     • audit_rule_files：ロードする監査ルールファイルを指定します。ワイルドカードがサポートされています。デフォルトでは、32 ビットと 64 ビットのルールファイルが提供されます。システムに合ったものを選択してください。

     • audit_rules：監査ルールを定義します。ECS インスタンスに接続し、./auditbeat show auditd-rules を実行してデフォルトの監査ルールを表示できます。

       -a never,exit -S all -F pid=26253
       -a always,exit -F arch=b32 -S all -F key=32bit-abi
       -a always,exit -F arch=b64 -S execve,execveat -F key=exec
       -a always,exit -F arch=b64 -S connect,accept,bind -F key=external-access
       -w /etc/group -p wa -k identity
       -w /etc/passwd -p wa -k identity
       -w /etc/gshadow -p wa -k identity
       -a always,exit -F arch=b64 -S open,truncate,ftruncate,create,openat,open_by_handle_at -F exit=-EACCES -F key=access
       -a always,exit -F arch=b64 -S open,truncate,ftruncate,create,openat,open_by_handle_at -F exit=-EPERM -F key=access

       説明

       ほとんどの場合、デフォルトのルールで一般的な監査要件を満たせます。カスタムの監査ルールを使用するには、audit.rules.d ディレクトリ内のルールファイルを変更してください。

   • ファイル整合性モジュール設定

     - module: file_integrity
       paths:
       - /bin
       - /usr/bin
       - /sbin
       - /usr/sbin
       - /etc

     paths：監視するパスを指定します。デフォルトでは、Auditbeat は /bin、/usr/bin、/sbin、/usr/sbin、/etc を監視します。

5. シッパーをインストールする ECS インスタンスを選択します。

6. シッパーを起動し、そのインストール状況を確認します。

   1. Start をクリックします。

      シッパーが起動すると、シッパーの有効化 ダイアログボックスが表示されます。

   2. Beats シッパーに戻る をクリックして Beats データシッパー ページに戻ります。シッパーの管理 セクションで、正常に起動した Auditbeat シッパーを表示します。

   3. ステータス が [有効 1/1] に変わるまで待ち、Actions 列の インスタンスの表示 をクリックします。

   4. インスタンスの表示 ページで、インストール済みシッパー を確認します。正常なハートビート ステータスは、インストールが成功したことを示します。

結果の表示

1. ターゲットの Alibaba Cloud Elasticsearch クラスターの Kibana コンソールにログインします。

   詳細については、「Kibana コンソールへのログイン」をご参照ください。

2. 左側のナビゲーションウィンドウで、[Discover] をクリックします。事前定義された auditbeat-* パターンを選択し、時間範囲を選択して、その期間に Auditbeat が収集したデータを表示します。

   ページの上部には、ヒット数と、時間経過に伴うデータ分布を示すヒストグラムが表示されます。下のデータテーブルでは、各レコードを展開して event.module、event.action、user.name、network.direction などの監査フィールドの詳細を表示できます。

3. 左側のナビゲーションウィンドウで、[Dashboard] をクリックします。

4. [Dashboards] リストで、[Auditbeat File Integrity] Overview をクリックします。次に、時間範囲を選択してファイルの変更を表示します。