RockyLinux8にElasticStackと一緒にSuricataIDSをインストールして構成する方法

Kibanaを構成する最初のステップは、xpackを有効にすることです。 秘密鍵を生成することによるセキュリティ機能。 Kibanaはこれらの秘密鍵を使用してElasticsearchにデータを保存します。秘密鍵を生成するユーティリティには、/usr/share/kibana/binからアクセスできます。 ディレクトリ。

 $ cd / usr / share / kibana / bin / $ sudo ./kibana-encryption-keys generate -q --force 

-q フラグはコマンド命令を抑制し、--force フラグは、新しいシークレットが生成されることを保証します。次のような出力が表示されます。

 xpack.encryptedSavedObjects.encryptionKey：0f4e5e1cf8fad1874ffed0faac6be0daxpack.reporting.encryptionKey：d435c78a4e37521e539c0e905420c9f5xpack.security.encryptionKey：7ba0e2a02747bb90fb0f 

 出力をコピーします。 /etc/kibana/kibana.ymlにあるKibanaの構成ファイルを開きます 編集用。
 
 $ sudo nano /etc/kibana/kibana.yml 
 

 前のコマンドのコードをファイルの最後に貼り付けます。
 
。 。 。＃すべてのローカライズ可能な文字列、日付、および数値形式に使用されるロケールを指定します。＃サポートされる言語は次のとおりです。英語-en、デフォルトでは中国語-zh-CN。＃i18n.locale： "en" xpack.encryptedSavedObjects.encryptionKey ：0f4e5e1cf8fad1874ffed0faac6be0daxpack.reporting.encryptionKey：d435c78a4e37521e539c0e905420c9f5xpack.security.encryptionKey：7ba0e2a02747bb90fb0f9a3c267b99ed 
 キバナポートを構成する 

 Kibanaは、サーバーのプライベートIPアドレスでアクセスできるように構成する必要があります。 #server.host: "localhost"という行を見つけます ファイルに追加し、図のようにそのすぐ下に次の行を追加します。
 
＃Kibanaはバックエンドサーバーによって提供されます。この設定は、使用するポートを指定します。＃server.port：5601＃Kibanaサーバーがバインドするアドレスを指定します。 IPアドレスとホスト名はどちらも有効な値です。＃デフォルトは「localhost」です。これは通常、リモートマシンが接続できないことを意味します。＃リモートユーザーからの接続を許可するには、このパラメーターを非ループバックアドレスに設定します。＃server .host： "localhost" server.host： "your_private_IP" 
 

 終了したら、 Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 Kibanaアクセスを構成する 

 次のステップは、Kibanaが認証に使用できるユーザー名とパスワードを作成することです。 Kibanaの構成ファイルを直接編集することでこれを行うことができますが、セキュリティ上の問題が発生する可能性があります。安全な方法には、kibana-keystoreの使用が含まれます アプリケーション。
 

 次のコマンドを実行して、ユーザー名を設定します。 kibana_systemと入力します ユーザー名として。
 
 $ cd / usr / share / kibana / bin $ sudo./kibana-keystore addelasticsearch.usernameelasticsearch.usernameの値を入力してください：************* 
 

 コマンドを再実行して、パスワードを設定してください。手順8でKibana用に作成したパスワードを使用してください。このチュートリアルでは、パスワードはdTanR7Q2HtgDtATRvuJvです。 。
 
 $ sudo ./kibana-keystore addelasticsearch.passwordelasticsearch.passwordの値を入力してください：******************** 
 Kibanaを開始する 

 Kibanaの安全なアクセスとネットワークを構成したので、プロセスを開始します。
 
 $ sudo systemctl start kibana 
 

 ステータスをチェックして、実行されているかどうかを確認します。
 
 $ sudo systemctl status kibana 
 ステップ10-Filebeatのインストールと構成 

 SuricataサーバーにFilebeatをインストールすることに注意することが重要です。そのため、それに切り替えて、ElasticGPGキーを追加して開始します。
 
 $ sudo rpm --import https://artifacts.elastic.co/GPG-KEY-elasticsearch 
 

 Elasticリポジトリを作成して開きます。
 
 $ sudo nano /etc/yum.repos.d/elasticsearch.repo 
 

 次のコードを貼り付けます。
 
 [elasticsearch] name=7.xパッケージのElasticsearchリポジトリbaseurl=https：//artifacts.elastic.co/packages/7.x/yumgpgcheck=1gpgkey=https：//artifacts.elastic.co/GPG-KEY- Elasticsearchenabled =0autorefresh =1type =rpm-md 
 

  Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 Filebeatをインストールします。
 
 $ sudo dnf install --enablerepo =elasticsearch filebeat 
 

 Filebeatはその構成を/etc/filebeat/filebeat.ymlに保存します ファイル。編集のために開きます。
 
 $ sudo nano /etc/filebeat/filebeat.yml 
 

 最初に行う必要があるのは、Kibanaのダッシュボードに接続することです。 #host: "localhost:5601"という行を見つけます キバナで セクションを作成し、図のようにそのすぐ下に次の行を追加します。
 
。 。 。＃Beatsバージョン6.0.0以降、ダッシュボードはKibana APIを介してロードされます。＃これにはKibanaエンドポイント構成が必要です。setup.kibana：＃Kibanaホスト＃スキームとポートは省略でき、デフォルトに設定されます（ httpおよび5601）＃追加のパスを指定する場合は、スキームが必要です。http：// localhost：5601 / path＃IPv6アドレスは常に次のように定義する必要があります：https：// [2001：db8 ::1]：5601 #host： "localhost：5601" host： "your_private_IP：5601"。 。 。
 

 次に、Elasticsearchの出力を見つけます ファイルのセクションを作成し、hostsの値を編集します 、username 、およびpassword 以下に示すように。ユーザー名として、elasticを選択します 値として、パスワードとして、このチュートリアルのステップ8で生成された値を使用します。
 
 output.elasticsearch：＃接続するホストの配列。ホスト：["your_private_IP：9200"]＃プロトコル- `http`（デフォルト）または`https`のいずれか。 #protocol： "https"＃認証資格情報-APIキーまたはユーザー名/パスワードのいずれか。 #api_key： "id：api_key"ユーザー名： "elastic"パスワード："bd1YJfhSa8RC8SMvTIwg"。 。 。
 

 終了したら、 Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 次に、Filebeatの組み込みSuricataモジュールを有効にします。
 
 $sudofilebeatモジュールはsuricataを有効にします
 

 Filebeatを構成する最後のステップは、filebeat setupを使用して、SIEMダッシュボードとパイプラインをElasticsearchにロードすることです。 コマンド。
 
 $sudofilebeatのセットアップ
 

 コマンドが完了するまでに数分かかる場合があります。完了すると、次の出力が表示されます。
 
ILMポリシーの上書きは無効になっています。有効にするには、 `setup.ilm.overwrite：true`を設定します。インデックスの設定が完了しました。ダッシュボードの読み込み（Kibanaが実行中で到達可能である必要があります）読み込み済みのダッシュボードsetup--machine-learningを使用したMLの設定は8.0.0で削除されます。代わりにMLアプリを使用してください。詳細：https：//www.elastic.co/guide/en/machine-learning/current/index.htmlを使用してElasticsearch8.0.0以降にMLジョブをロードすることはできません。 Beat.Loaded機械学習ジョブ構成LoadedIngestパイプライン
 

 Filebeatサービスを開始します。
 
 $ sudo systemctl start filebeat 
 

 サービスのステータスを確認してください。
 
 $ sudo systemctl status filebeat 
 ステップ11-Kibanaダッシュボードへのアクセス 

 KIbanaはプライベートIPアドレスを介してのみElasticsearchにアクセスするように構成されているため、アクセスするには2つのオプションがあります。最初の方法は、PCからElasticsearchサーバーへのSSHトンネルを使用することです。これにより、ポート5601がPCからサーバーのプライベートIPアドレスに転送され、PCからhttp://localhost:5601でKibanaにアクセスできるようになります。 。ただし、この方法では、他の場所からはアクセスできなくなります。
 

 オプションは、SuricataサーバーにNginxをインストールすることです。 プライベートIPアドレスを介してElasticsearchのサーバーにアクセスするためのリバースプロキシとして使用します。両方の方法について説明します。要件に基づいてどちらの方法も選択できます。
 
SSHローカルトンネルの使用
 

 Windows10またはWindows11を使用している場合は、WindowsPowershellからSSHLocalTunnelを実行できます。 LinuxまたはmacOSでは、ターミナルを使用できます。まだ設定していない場合は、SSHアクセスを設定する必要があります。
 

 コンピューターの端末で次のコマンドを実行して、SSHトンネルを作成します。
 
 $ ssh -L 5601：your_private_IP：5601 [email protected] _public_IP -N 
 
 
 -L フラグは、PCのポートからサーバーにトラフィックを転送するローカルSSHトンネルを指します。
 
 private_IP:5601 サーバー上でトラフィックが転送されるIPアドレスです。この場合は、ElasticsearchサーバーのプライベートIPアドレスに置き換えてください。
 
 your_public_IP SSH接続を開くために使用されるElasticsearchサーバーのパブリックIPアドレスです。
 
 -N フラグは、OpenSSHにコマンドを実行しないように指示しますが、トンネルが実行されている限り接続を維持します。
 
 

 トンネルが開いたので、URL http://localhost:5601を開くことでKibanaにアクセスできます。 PCのブラウザで。次の画面が表示されます。
 

  
 

 Kibanaにアクセスする必要がある限り、コマンドを実行し続ける必要があります。  Ctrl + Cを押します ターミナルでトンネルを閉じます。
 
Nginxリバースプロキシの使用
 

 この方法は、世界中のどこからでもダッシュボードにアクセスする場合に最適です。
 ファイアウォールの構成 

 先に進む前に、ファイアウォールでHTTPポートとHTTPSポートを開く必要があります。
 
 $ sudo Firewall-cmd --permanent --add-service =http $ sudo Firewall-cmd --permanent --add-service =https 
 

 ファイアウォールをリロードして変更を有効にします。
 
 $ sudo Firewall-cmd --reload 
 
SSLをインストールして構成する
 

 最初のステップは、Let'sEncryptSSL証明書をインストールすることです。すでにEPELリポジトリを設定しているので、Certbotツールをインストールします。
 
 $ sudo dnf install certbot 
 

 ドメインkibana.example.comのSSL証明書を生成します 。
 
 $ sudo certbot certonly --standalone --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d kibana.example.com 
 

 The above command will download a certificate to the /etc/letsencrypt/live/kibana.example.com サーバー上のディレクトリ。
 

 Diffie-Hellmanグループを生成します 証明書。
 
 $ sudo openssl dhparam -out /etc/ssl/certs/dhparam.pem 2048 
 

 Create a challenge web root directory for Let's Encrypt auto-renewal.
 
 $ sudo mkdir -p / var / lib /letsencrypt 
 

 Cronジョブを作成してSSLを更新します。証明書を確認し、必要に応じて更新するために毎日実行されます。そのためには、まず、ファイル/etc/cron.daily/certbot-renewを作成します。 開いて編集します。
 
 $ sudo nano /etc/cron.daily/certbot-renew 
 

 次のコードを貼り付けます。
 
#!/bin/shcertbot renew --cert-name kibana.example.com --webroot -w /var/lib/letsencrypt/ --post-hook "systemctl reload nginx"
 

  Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 タスクファイルの権限を変更して実行可能にします。
 
 $ sudo chmod + x /etc/cron.daily/certbot-renew 
 
Install and Configure Nginx
 

 Rocket Linux 8.5 ships with the latest stable version of Nginx as a module. Install it using the following command.
 
$ sudo dnf module install nginx:1.20
 

 You can check the version you want to install using the following command.
 
$ dnf module list nginxRocky Linux 8 - AppStreamName Stream Profiles Summarynginx 1.14 [d] common [d] nginx webservernginx 1.16 common [d] nginx webservernginx 1.18 common [d] nginx webservernginx 1.20 [e] common [d] [i] nginx webserverExtra Packages for Enterprise Linux Modular 8 - x86_64Name Stream Profiles Summarynginx mainline common nginx webservernginx 1.20 [e] common [d] [i] nginx webserver
 

 Confirm the Nginx installation.
 
$ nginx -vnginx version 1.20.1
 

 Nginxサービスを有効にします。
 
 $ sudo systemctl enable nginx 
 

 Create and open the Nginx configuration file for Kibana.
 
$ sudo nano /etc/nginx/conf.d/kibana.conf
 

 Paste the following code in it. Replace the IP address with the private IP address of your Elasticsearch server.
 
 server {listen 80;聞く[::]：80; server_name kibana.example.com; return 301 https://$host$request_uri;}server { server_name kibana.example.com;文字セットutf-8; 443sslhttp2をリッスンします。リッスン[::]：443 ssl http2; access_log /var/log/nginx/kibana.access.log; error_log /var/log/nginx/kibana.error.log; ssl_certificate /etc/letsencrypt/live/kibana.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/kibana.example.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/kibana.example.com/chain.pem; ssl_session_timeout 1d; ssl_session_cache shared：MozSSL：10m; ssl_session_tickets off; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256：ECDHE-RSA-AES128-GCM-SHA256：ECDHE-ECDSA-AES256-GCM-SHA384：ECDHE-RSA-AES256-GCM-SHA384：ECDHE-ECDSA-CHACHA20-POLY -RSA-CHACHA20-POLY1305：DHE-RSA-AES128-GCM-SHA256：DHE-RSA-AES256-GCM-SHA384; resolver 8.8.8.8; ssl_stapling on; ssl_stapling_verify on; ssl_dhparam /etc/ssl/certs/dhparam.pem; location / { proxy_pass http://your_private_IP:5601; proxy_set_header Host $ host; proxy_set_header X-Real-IP $ remote_addr; proxy_set_header X-Forwarded-For $ proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $ schema; }} 
 

  Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 ファイル/etc/nginx/nginx.confを開きます 編集用。
 
 $ sudo nano /etc/nginx/nginx.conf 
 

 include /etc/nginx/conf.d/*.conf;の行の前に次の行を追加します 。
 
 server_names_hash_bucket_size 64; 
 

  Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 Verify the configuration.
 
$ sudo nginx -tnginx:the configuration file /etc/nginx/nginx.conf syntax is oknginx:configuration file /etc/nginx/nginx.conf test is successful
 

 Start the Nginx service.
 
 $ sudo systemctl start nginx 
 

 Your Kibana dashboard should be accessible via the URL https://kibana.example.com from anywhere you want.
 
Step 12 - Managing Kibana Dashboards
 

 Before proceeding further with managing the dashboards, you need to add the base URL field in Kibana's configuration.
 

 Open Kibana's configuration file.
 
$ sudo nano /etc/kibana/kibana.yml
 

 Find the commented line #server.publicBaseUrl: "" and change it as follows by removing the hash in front of it.
 
server.publicBaseUrl:"https://kibana.example.com"
 

  Ctrl + Xを押してファイルを保存します  Yと入力します プロンプトが表示されたら。
 

 Restart the Kibana service.
 
$ sudo systemctl restart kibana
 

 Wait for a few minutes and load the URL https://kibana.example.com in your browser. Log in with the username elastic and the password you generated before (bd1YJfhSa8RC8SMvTIwg ) and you will get the following screen.
 

 
 

 Type type:data suricata in the search box at the top to locate Suricata's information.
 

 
 

 Click the first result ([Filebeat Suricata] Alert Overview ), and you will get a screen similar to the following. By default, it shows the entries for only the last 15 minutes, but we are displaying it over a larger timespan to show more data for the tutorial.
 

 
 

 Click on the Events button to view all the logged events.
 

 
 

 On scrolling down on events and alert pages, you can identify each event and alert by the type of protocol, the source and destination ports, and the IP address of the source. You can also view the countries from where the traffic originated.
 

 You can use Kibana and Filebeat to access and generate other types of dashboards. One of the useful in-built dashboards that you can right away is the Security dashboard. Click on the Network dashboard from the left hamburger menu, and you will get the following screen.
 

 
 

 You can add more dashboards like Nginx by enabling and configuring in-built Filebeat modules.
 結論 

 This concludes the tutorial for installing and configuring Suricata IDS with Elastic Stack on a Rocky Linux 8 based server. You also configured Nginx as a reverse proxy to access Kibana dashboards externally.ご不明な点がございましたら、下のコメント欄に投稿してください。