Siem (Elasticsearch) - анализ и корреляция данных о безопасности из различных источников

[ya]

SIEM: Основная цель SIEM - сбор, анализ и корреляция данных о безопасности из различных источников (журналы серверов, сетевых устройств, приложений и т.д.). SIEM помогает в выявлении нарушений безопасности и инцидентов, а также в соблюдении нормативных требований.

Install Elasticsearch with Debian Package
https://www.elastic.co/guide/en/elasticsearch/reference/current/deb.html

Шаги установки ELK Stack на Debian

1. **Обновите списки пакетов и установите необходимые зависимости:**
```bash
sudo apt update
sudo apt install -y openjdk-17-jdk wget apt-transport-https gnupg gnupg2 gnupg1
```

Код: Выделить всё

sudo apt-get install apt-transport-https

2. **Установите и настройте Elasticsearch:**
- Добавьте ключ GPG для пакета Elasticsearch:
```bash
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
```

Код: Выделить всё

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo gpg --dearmor -o /usr/share/keyrings/elasticsearch-keyring.gpg

- Добавьте репозиторий Elasticsearch:
```bash
echo "deb [signed-by=/usr/share/keyrings/elasticsearch-keyring.gpg] https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list
```

Код: Выделить всё

echo "deb [signed-by=/usr/share/keyrings/elasticsearch-keyring.gpg] https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee /etc/apt/sources.list.d/elastic-8.x.list

- Затем обновите списки пакетов и установите Elasticsearch:
```bash
sudo apt update
sudo apt install elasticsearch
```

Код: Выделить всё

sudo apt-get update && sudo apt-get install elasticsearch

- Запустите и активируйте службу Elasticsearch:
```bash
sudo systemctl start elasticsearch
sudo systemctl enable elasticsearch
```

3. **Установите и настройте Logstash:**
- Установите Logstash:
```bash
sudo apt install logstash
```
- Запустите и активируйте службу Logstash:
```bash
sudo systemctl start logstash
sudo systemctl enable logstash
```

4. **Установите и настройте Kibana:**
- Установите Kibana:
```bash
sudo apt install kibana
```
- Запустите и активируйте службу Kibana:
```bash
sudo systemctl start kibana
sudo systemctl enable kibana
```
- Настройте доступ к Kibana, отредактировав файл конфигурации `/etc/kibana/kibana.yml`, чтобы изменить настройки хоста и порта, если это необходимо. По умолчанию доступ к Kibana осуществляется через `http://localhost:5601`.

5. **Настройка Firewal и доступ:**
- Если у вас включен firewall, убедитесь, что открыты необходимые порты (9200 для Elasticsearch и 5601 для Kibana). Например:
```bash
sudo ufw allow 5601
sudo ufw allow 9200
```

6. **Проверка установки:**
- Убедитесь, что все службы работают правильно:
```bash
sudo systemctl status elasticsearch
sudo systemctl status logstash
sudo systemctl status kibana
```

7. **Доступ к Kibana:**
- Откройте браузер и перейдите по адресу `http://<ваш_IP_адрес>:5601`. Вы должны увидеть интерфейс Kibana.

### Примечания:
- Убедитесь, что Java установлена и правильно конфигурируется, так как Elasticsearch требует Java для работы.
- После установки вам может потребоваться настроить логирование и источники данных для обработки информационных событий.
- Это базовая установка, и вам, возможно, потребуется более глубокая настройка безопасности, шифрования и управления доступом в зависимости от ваших потребностей.