OPNsense Elastic Search mit PFELK: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(8 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 29: Zeile 29:
 
;Kibana Verification Code  
 
;Kibana Verification Code  
 
[[Datei:kcode.png|900px]]
 
[[Datei:kcode.png|900px]]
−
== Logstash ==
+
== Nacharbeiten ==
−
*'''cp pfelk/etc/pfelk/config/pipelines.yml /etc/logstash/'''
+
;Neues Passwort setzen
−
*'''mkdir -p /etc/pfelk/logs'''
+
*/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic
−
*'''cp pfelk/etc/pfelk/scripts/error-data.sh /etc/pfelk/scripts/'''
+
;In der Weboberfläche ändern
−
*'''chmod +x /etc/pfelk/scripts/error-data.sh'''
+
*Oben rechts Profil auswählen
−
*'''cp -r /etc/elasticsearch/certs /etc/logstash/config/'''
+
**Edit Profile
−
*'''chown -R logstash:logstash /etc/logstash'''
+
***Change Password
 +
;Password im Logstash setzen
 +
*sed  -ie "s/changeme/123Start$/" 50-outputs.pfelk  
 +
;Fehler bereinigen
 +
*sed  -ie "s/cacert/ssl_certificate_authorities/" 50-outputs.pfelk
 +
=Einstellungen Opnsense=
 +
==Firewall und Logging allgemein==
 +
*System
 +
**Settings
 +
***Logging
 +
****Remote
 +
*****+
 +
[[Datei:opnsens-log-allgemein.png]]
  
−
== Dienste aktivieren ==
+
==Firewall und Logging allgemein==
−
*'''systemctl daemon-reload'''
+
*Services
−
*'''systemctl enable --now elasticsearch.service'''
+
**Intrusion Detection
−
*'''systemctl enable --now kibana.service'''
+
***Administration
−
*'''systemctl enable --now logstash.service'''
+
****Settings
 +
[[Datei:opnsens-log-suricata.png]]
  
−
== Elastic ==
+
=Cheat Sheet=
−
*Enrollment-Key generieren und in die Weboberfläche eintragen
+
*[[Elasticsearch Cheat Sheet (pfELK)]]
−
*'''/usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token --scope kibana'''
 
−
*http://ip.elk.stack:5601
 
−
*Kibana wird für einen Verifikationscode fragen
 
−
*'''/usr/share/kibana/bin/kibana-verification-code'''
 
−
*http://ip.elk.stack:5601
 
−
*Falls das Passwort für den Nutzer ''elastic'' verloren gegangen ist, kann dieser so zurückgesetzt werden
 
−
*'''/usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic'''
 
−
*http://ip.elk.stack:5601
 
−
 
 
−
user: elastic
 
−
pass: ******
 
  
 
= Links =
 
= Links =
 
* https://github.com/pfelk/pfelk
 
* https://github.com/pfelk/pfelk

Aktuelle Version vom 13. September 2025, 17:59 Uhr

Vorraussetzungen

Hardware

  • 8 - 32 GB RAM
  • 32 GB Festplattenspeicher für Docker und ELK Stack

Swap für mehr Stabilität entfernen

  • Falls eine Swap-Partition bei der Installation erstellt wurde, empfiehlt die Dokumentation, diese auszuschalten
  • swapoff -a
  • vim /etc/fstab # swap entfernen

Maximale Memory Maps erhöhen

  • vim /etc/sysctl.conf 
vm.max_map_count=262144
  • sysctl -p

Installation

Download installer script from pfelk repository
Make script executable
  • chmod +x pfelk-installer.sh
Run installer script
  • sudo ./pfelk-installer.sh

Konfiguration

Enrollment token

Enrollment-token.png

Kibana Verification Code

Kcode.png

Nacharbeiten

Neues Passwort setzen
  • /usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic
In der Weboberfläche ändern
  • Oben rechts Profil auswählen
    • Edit Profile
      • Change Password
Password im Logstash setzen
  • sed -ie "s/changeme/123Start$/" 50-outputs.pfelk
Fehler bereinigen
  • sed -ie "s/cacert/ssl_certificate_authorities/" 50-outputs.pfelk

Einstellungen Opnsense

Firewall und Logging allgemein

  • System
    • Settings
      • Logging
        • Remote
          • +

Opnsens-log-allgemein.png

Firewall und Logging allgemein

  • Services
    • Intrusion Detection
      • Administration
        • Settings

Opnsens-log-suricata.png

Cheat Sheet

Links

Abgerufen von „http://wiki.ixheim.de/index.php?title=OPNsense_Elastic_Search_mit_PFELK&oldid=64628“