https://wiki.ixheim.de/index.php?action=history&feed=atom&title=OPNsense_Kibana_Discover 2026-06-29T07:04:54Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=OPNsense_Kibana_Discover&diff=64648&oldid=prev 2025-09-14T11:36:21Z

<p><span dir="auto"><span class="autocomment">Workshop: OPNsense + Suricata Logs in Kibana Discover</span></span></p> <table class="diff diff-contentalign-left diff-editfont-monospace" data-mw="interface"> <col class="diff-marker" /> <col class="diff-content" /> <col class="diff-marker" /> <col class="diff-content" /> <tr class="diff-title" lang="de"> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td> <td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">Version vom 14. September 2025, 11:36 Uhr</td> </tr><tr><td colspan="2" class="diff-lineno" id="mw-diff-left-l1" >Zeile 1:</td> <td colspan="2" class="diff-lineno">Zeile 1:</td></tr> <tr><td class='diff-marker'>−</td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div><del class="diffchange diffchange-inline">= Workshop: OPNsense + Suricata Logs in Kibana Discover =</del></div></td><td class='diff-marker'>+</td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div> </div></td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td></tr> <tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>== Zeitspanne einstellen ==</div></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>== Zeitspanne einstellen ==</div></td></tr> </table>

Thomas.will https://wiki.ixheim.de/index.php?title=OPNsense_Kibana_Discover&diff=64647&oldid=prev 2025-09-14T11:36:07Z

<p>Die Seite wurde neu angelegt: „= Workshop: OPNsense + Suricata Logs in Kibana Discover = == Zeitspanne einstellen == * Standardmäßig zeigt Kibana nur &#039;&#039;Last 15 minutes&#039;&#039;. * Stelle oben re…“</p> <p><b>Neue Seite</b></p><div>= Workshop: OPNsense + Suricata Logs in Kibana Discover =<br /> <br /> == Zeitspanne einstellen ==<br /> * Standardmäßig zeigt Kibana nur ''Last 15 minutes''.<br /> * Stelle oben rechts die Zeitspanne um auf ''Last 24 hours'' oder ''This week''.<br /> * Klicke danach auf '''Refresh''', um die Daten neu zu laden.<br /> * Ergebnis: Es erscheinen alle verfügbaren Suricata- und Firewall-Events im gewählten Zeitraum.<br /> <br /> == Überblick verschaffen ==<br /> * In ''Discover'' das gewünschte Data View auswählen (z. B. apm-*, auditbeat-*, end...).<br /> * Auf der linken Seite wichtige Felder aktivieren:<br /> - @timestamp<br /> - event.dataset<br /> - source.ip<br /> - destination.ip<br /> - destination.port<br /> - event.action<br /> * Die Tabelle zeigt nun für jedes Event die Zeit, Quelle, Ziel und Aktion an.<br /> <br /> == Suricata-Events analysieren ==<br /> * Filter setzen:<br /> event.dataset : &quot;suricata.eve&quot;<br /> * Typische Felder:<br /> - rule.id<br /> - rule.description<br /> - destination.ip<br /> - destination.port<br /> - event.severity<br /> * Beispiel: Alle Suricata-Warnungen für HTTP oder SSH erkennen.<br /> <br /> == Firewall-Events analysieren ==<br /> * Filter setzen:<br /> event.dataset : &quot;pf&quot;<br /> * Typische Felder:<br /> - action (pass / block)<br /> - interface<br /> - source.ip<br /> - destination.ip<br /> * Beispiel: Zeige geblockte Zugriffe mit:<br /> event.action : &quot;blocked&quot;<br /> <br /> == IDS und Firewall korrelieren ==<br /> * Kombinierter Filter:<br /> (event.dataset : &quot;suricata.eve&quot; AND destination.port : 80) <br /> OR (event.dataset : &quot;pf&quot; AND destination.port : 80)<br /> * Ergebnis: Alle HTTP-Zugriffe, sowohl IDS-Warnungen als auch Firewall-Entscheidungen.<br /> * Teilnehmer sehen den Zusammenhang: IDS meldet, Firewall blockt oder erlaubt.<br /> <br /> == Bonus: Erste Visualisierung ==<br /> * Wechsel zu ''Visualize''.<br /> * Balkendiagramm erstellen:<br /> - X-Achse: @timestamp<br /> - Y-Achse: Anzahl Events<br /> - Split: event.dataset<br /> * Ergebnis: Zeitliche Entwicklung von Firewall- und Suricata-Events im Vergleich.</div>

Thomas.will