OPNsense Elastic Search mit PFELK

Vorraussetzungen

Hardware

• 8 - 32 GB RAM
• 32 GB Festplattenspeicher für Docker und ELK Stack

Swap für mehr Stabilität entfernen

• Falls eine Swap-Partition bei der Installation erstellt wurde, empfiehlt die Dokumentation, diese auszuschalten
• swapoff -a
• vim /etc/fstab # swap entfernen

Maximale Memory Maps erhöhen

• vim /etc/sysctl.conf

vm.max_map_count=262144

• sysctl -p

Installation

Download installer script from pfelk repository

• wget https://raw.githubusercontent.com/pfelk/pfelk/main/etc/pfelk/scripts/pfelk-installer.sh

Make script executable

• chmod +x pfelk-installer.sh

Run installer script

• sudo ./pfelk-installer.sh

Konfiguration

Enrollment token

Kibana Verification Code

Nacharbeiten

Neues Passwort setzen

• /usr/share/elasticsearch/bin/elasticsearch-reset-password -u elastic

In der Weboberfläche ändern

• Oben rechts Profil auswählen
  • Edit Profile
    • Change Password

Password im Logstash setzen

• sed -ie "s/changeme/123Start$/" 50-outputs.pfelk

Fehler bereinigen

• sed -ie "s/cacert/ssl_certificate_authorities/" 50-outputs.pfelk

Einstellungen Opnsense

Firewall und Logging allgemein

• System
  • Settings
    • Logging
      • Remote
        • +

Firewall und Logging allgemein

• Services
  • Intrusion Detection
    • Administration
      • Settings

Cheat Sheet

• Elasticsearch Cheat Sheet (pfELK)

Links

• https://github.com/pfelk/pfelk