OPNsense Elastic Search mit PFELK: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(10 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 25: Zeile 25:
  
 
= Konfiguration =
 
= Konfiguration =
 +
;Enrollment token
 
[[Datei:Enrollment-token.png|900px]]
 
[[Datei:Enrollment-token.png|900px]]
−
 
+
;Kibana Verification Code
 
[[Datei:kcode.png|900px]]
 
[[Datei:kcode.png|900px]]
−
== Pfelk ==
+
== Nacharbeiten ==
−
 
+
;Neues Passwort setzen
−
*<nowiki>#</nowiki>Konfigurationsordner anlegen
+
*/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic
−
*'''mkdir -p /etc/pfelk/{conf.d,config,logs,databases,patterns,scripts,templates}'''
+
;In der Weboberfläche ändern
−
*<nowiki>#</nowiki>Konfigurationsvorlagen in die entsprechenden Verzeichnisse kopieren
+
*Oben rechts Profil auswählen
−
*'''cp pfelk/etc/pfelk/conf.d/01-inputs.pfelk -P /etc/pfelk/conf.d/'''
+
**Edit Profile
−
*'''cp pfelk/etc/pfelk/conf.d/02-firewall.pfelk -P /etc/pfelk/conf.d/'''
+
***Change Password
−
*'''cp pfelk/etc/pfelk/conf.d/05-apps.pfelk -P /etc/pfelk/conf.d/'''
+
;Password im Logstash setzen
−
*'''cp pfelk/etc/pfelk/conf.d/30-geoip.pfelk -P /etc/pfelk/conf.d/'''
+
*sed  -ie "s/changeme/123Start$/" 50-outputs.pfelk  
−
*'''cp pfelk/etc/pfelk/conf.d/49-cleanup.pfelk -P /etc/pfelk/conf.d/'''
+
;Fehler bereinigen
−
*'''cp pfelk/etc/pfelk/conf.d/50-outputs.pfelk -P /etc/pfelk/conf.d/'''
+
*sed  -ie "s/cacert/ssl_certificate_authorities/" 50-outputs.pfelk
−
*'''cp pfelk/etc/pfelk/conf.d/20-interfaces.pfelk -P /etc/pfelk/conf.d/'''
+
=Einstellungen Opnsense=
−
*'''cp pfelk/etc/pfelk/conf.d/35-rules-desc.pfelk -P /etc/pfelk/conf.d/'''
+
==Firewall und Logging allgemein==
−
*'''cp pfelk/etc/pfelk/conf.d/36-ports-desc.pfelk -P /etc/pfelk/conf.d/'''
+
*System
−
*'''cp pfelk/etc/pfelk/conf.d/37-enhanced_user_agent.pfelk -P /etc/pfelk/conf.d/'''
+
**Settings
−
*'''cp pfelk/etc/pfelk/conf.d/38-enhanced_url.pfelk -P /etc/pfelk/conf.d/'''
+
***Logging
−
*'''cp pfelk/etc/pfelk/conf.d/45-enhanced_private.pfelk -P /etc/pfelk/conf.d/'''
+
****Remote
−
*'''cp pfelk/etc/pfelk/patterns/pfelk.grok -P /etc/pfelk/patterns/'''
+
*****+
−
*'''cp pfelk/etc/pfelk/patterns/openvpn.grok -P /etc/pfelk/patterns/'''
+
[[Datei:opnsens-log-allgemein.png]]
−
*'''cp pfelk/etc/pfelk/databases/private-hostnames.csv -P /etc/pfelk/databases/'''
 
−
*'''cp pfelk/etc/pfelk/databases/rule-names.csv -P /etc/pfelk/databases/'''
 
−
*'''cp pfelk/etc/pfelk/databases/service-names-port-numbers.csv -P /etc/pfelk/databases/'''
 
−
 
 
−
== Logstash ==
 
−
*'''cp pfelk/etc/pfelk/config/pipelines.yml /etc/logstash/'''
 
−
*'''mkdir -p /etc/pfelk/logs'''
 
−
*'''cp pfelk/etc/pfelk/scripts/error-data.sh /etc/pfelk/scripts/'''
 
−
*'''chmod +x /etc/pfelk/scripts/error-data.sh'''
 
−
*'''cp -r /etc/elasticsearch/certs /etc/logstash/config/'''
 
−
*'''chown -R logstash:logstash /etc/logstash'''
 
−
 
 
−
== Dienste aktivieren ==
 
−
*'''systemctl daemon-reload'''
 
−
*'''systemctl enable --now elasticsearch.service'''
 
−
*'''systemctl enable --now kibana.service'''
 
−
*'''systemctl enable --now logstash.service'''
 
  
−
== Elastic ==
+
==Firewall und Logging allgemein==
−
*Enrollment-Key generieren und in die Weboberfläche eintragen
+
*Services
−
*'''/usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token --scope kibana'''
+
**Intrusion Detection
−
*http://ip.elk.stack:5601
+
***Administration
−
*Kibana wird für einen Verifikationscode fragen
+
****Settings
−
*'''/usr/share/kibana/bin/kibana-verification-code'''
+
[[Datei:opnsens-log-suricata.png]]
−
*http://ip.elk.stack:5601
 
−
*Falls das Passwort für den Nutzer ''elastic'' verloren gegangen ist, kann dieser so zurückgesetzt werden
 
−
*'''/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic'''
 
−
*http://ip.elk.stack:5601
 
  
−
user: elastic
+
=Cheat Sheet=
−
pass: ******
+
*[[Elasticsearch Cheat Sheet (pfELK)]]
  
 
= Links =
 
= Links =
 
* https://github.com/pfelk/pfelk
 
* https://github.com/pfelk/pfelk

Aktuelle Version vom 13. September 2025, 17:59 Uhr

Vorraussetzungen

Hardware

  • 8 - 32 GB RAM
  • 32 GB Festplattenspeicher für Docker und ELK Stack

Swap für mehr Stabilität entfernen

  • Falls eine Swap-Partition bei der Installation erstellt wurde, empfiehlt die Dokumentation, diese auszuschalten
  • swapoff -a
  • vim /etc/fstab # swap entfernen

Maximale Memory Maps erhöhen

  • vim /etc/sysctl.conf 
vm.max_map_count=262144
  • sysctl -p

Installation

Download installer script from pfelk repository
Make script executable
  • chmod +x pfelk-installer.sh
Run installer script
  • sudo ./pfelk-installer.sh

Konfiguration

Enrollment token

Enrollment-token.png

Kibana Verification Code

Kcode.png

Nacharbeiten

Neues Passwort setzen
  • /usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic
In der Weboberfläche ändern
  • Oben rechts Profil auswählen
    • Edit Profile
      • Change Password
Password im Logstash setzen
  • sed -ie "s/changeme/123Start$/" 50-outputs.pfelk
Fehler bereinigen
  • sed -ie "s/cacert/ssl_certificate_authorities/" 50-outputs.pfelk

Einstellungen Opnsense

Firewall und Logging allgemein

  • System
    • Settings
      • Logging
        • Remote
          • +

Opnsens-log-allgemein.png

Firewall und Logging allgemein

  • Services
    • Intrusion Detection
      • Administration
        • Settings

Opnsens-log-suricata.png

Cheat Sheet

Links

Abgerufen von „http://wiki.ixheim.de/index.php?title=OPNsense_Elastic_Search_mit_PFELK&oldid=64628“