## 应用场景本文为您介绍如何对流量镜像的流量进行分析。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f8e8373f9ce8ccbed15077ddea464aa5.png =549x) |应用 |本示例中的作用说明 |相关文档 | |---|---|---| |Suricata |对流量镜像的数据解除VXLAN封装。 |[What is Suricata](https://docs.suricata.io/en/latest/what-is-suricata.html) | |Filebeat |收集日志数据并将其转发至 Elasticsearch 。 |[Filebeat overview](https://www.elastic.co/guide/en/beats/filebeat/current/filebeat-overview.html) | |Elasticsearch |存储数据并提供搜索索引。 |[What is Elasticsearch?](https://www.elastic.co/guide/en/elasticsearch/reference/8.17/elasticsearch-intro-what-is-es.html) | |Kibana |分析Elasticsearch中的数据并可视化呈现。 |[What is Kibana?](https://www.elastic.co/guide/en/kibana/8.17/introduction.html) | :::tip 上述均为开源软件，您也可以选择其他的分析工具。 ::: ## 前提条件 1. 已完成 [流量镜像快速入门](https://www.volcengine.com/docs/6401/1158232) 的步骤。 2. 在同一VPC内，新增两台绑定公网IP的云服务器ECS\-Elasticsearch、ECS\-Kibana。 3. 在云服务器ECS\-Kibana所在安全组的入方向放通协议TCP、网段为0.0.0.0/0、端口为5601的流量。操作请参见 [添加安全组规则](https://www.volcengine.com/docs/6401/68895)。 ## 操作步骤 :::tip 本文云服务器均以CenOS 7.9为例。 ::: ### 步骤一：安装Suricata 1. 登录云服务器ECS\-TrafficMirrorTarget。 2. 依次执行以下命令，安装Suricata。 ```JSON sudo yum install epel-release yum-plugin-copr sudo yum copr enable @oisf/suricata-7.0 sudo yum install suricata ``` 3. 执行以下命令，启动Suricata。 ```Shell sudo systemctl enable suricata sudo systemctl start suricata ``` 4. 执行以下命令，查看日志文件**。** ```Bash cd /var/log/suricata ls ``` 日志文件如下图。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7c48f0a2bac9d33de6a8828619a5d746.png =613x) ### 步骤二：安装Elasticsearch 您可参考本操作，安装一个Elasticsearch节点。 1. 登录云服务器ECS\-Elasticsearch。 2. 执行以下命令，创建并切换至`elastic-install-files`目录。 ```JSON mkdir elastic-install-files cd elastic-install-files ``` 3. 执行以下命令，下载Elasticsearch。 weget https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-8.17.2-x86_64.rpm 4. 执行以下命令，安装Elasticsearch。 `sudo rpm --install elasticsearch-8.17.2-x86_64.rpm` Elasticsearch安装时，默认启用以下安全功能： * 启用身份验证和授权，包括一个内置的elastic超级用户账户。 * 会为传输层和HTTP层生成TLS（传输层安全协议）的证书和密钥，并且使用这些密钥和证书启用和配置TLS。 5. 将安装命令的终端输出复制到本地文件。尤其是elastic超级用户账户的密码。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_6366beb8d129a5e14f0f8ec946bb0cae.png =744x) 6. 执行以下命令，使Elasticsearch开机自动启动。 ```Bash sudo systemctl daemon-reload sudo systemctl enable elasticsearch.service ``` 7. 打开sudo vim `/etc/elasticsearch/elasticsearch.yml`配置文件，配置如下信息。 ```Bash # ---------------------------------- Cluster ----------------------------------- cluster.name: elasticsearch-demo # 在多节点的Elasticsearch集群中，所有的Elasticsearch实例都需要有相同的名称。 # ---------------------------------- Network ----------------------------------- network.host: 192.168.1.4 #云服务器ECS-Elasticsearch的IP地址 http.port: 9200 #----------------------- BEGIN SECURITY AUTO CONFIGURATION ----------------------- transport.host: 0.0.0.0 #0.0.0.0这个设置可使Elasticsearch监听所有可用网络接口上的连接。您也通过设置此值以匹配为network.host设置的值来限制监听范围。 ``` 保存更改并关闭编辑器。 8. 执行以下命令，启动Elasticsearch。 `sudo systemctl start elasticsearch.service` > 如果有需要，您可以通过运行“sudo systemctl stop elasticsearch.service”来停止该服务。 9. 确保Elasticsearch正在正常运行。 `sudo curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic:$ELASTIC_PASSWORD https://localhost:9200` 本文示例为：sudo curl \-\-cacert /etc/elasticsearch/certs/http_ca.crt \-u elastic:_Nf0kK+rP3_2=9qVLRp7 https://localhost:9200 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_97792ada1420a04550708821112e761f.png =817x) 将$ELASTIC_PASSWORD替换为您从安装Elasticsearch时复制的elastic超级用户密码。 10. 执行以下命令，查看Elasticsearch的状态。 `sudo systemctl status elasticsearch` ### 步骤三：安装Kibana 1. 登录云服务器ECS\-Kibana。 2. 执行以下命令，并创建并切换到kibana\-install\-files目录。 ```JSON mkdir kibana-install-files cd kibana-install-files ``` 3. 执行以下命令，下载Kibana安装包。 `wget https://artifacts.elastic.co/downloads/kibana/kibana-8.17.2-x86_64.rpm` 4. 执行以下命令，安装Kibana。 `sudo rpm --install kibana-8.17.2-x86_64.rpm` ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_53b973112877df48498e10c057ad2954.png =844x) 5. 切换至云服务器ECS\-Elasticsearch，执行以下命令，生成Kibana连接Elasticsearch时需要输入的令牌。 `sudo /usr/share/elasticsearch/bin/elasticsearch-create-enrollment-token -s kibana` > 从命令输出中复制生成的注册令牌。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_3385dadfd4a7e8716bd6815714370fa7.png =849x) 本文示例：`eyJ2ZXIiOiI4LjE0LjAiLCJhZHIiOlsiMTkyLjE2OC4xLjQ6OTIwMCJdLCJmZ3IiOiJhMWY1YzQ2Njg5ZDI0YWRlYjdjZTg0ZDc2MjA2YmM1MmE4NzMwZDIxYTg4MGNlMzM1MGM1YjIwYWRjMjAyN2QzIiwia2V5IjoiOEd0Rko1VUJKOTBOR1pCTkduZGQ6cTNCbnNOTm9RRmlQeTNqaUZZdmlYZyJ9` 6. 执行以下两个命令，使Kibana开机自动启动。 ```JSON sudo systemctl daemon-reload sudo systemctl enable kibana.service ``` 7. 打开sudo vim /etc/kibana/kibana.yml 配置文件，配置如下信息： ```Bash #=================== System: Kibana Server =================== server.port: 5601 server.host: "192.168.1.5" #ECS-Kibana的IP地址 ``` 保存更改并关闭编辑器。 8. 执行以下命令，启动Kibana服务： `sudo systemctl start kibana.service` > 如果有需要，你可以通过运行“sudo systemctl stop kibana.service”来停止该服务。 9. 执行以下命令，查看Kibana状态。 `sudo systemctl status kibana` 10. 在本地电脑的浏览器，输入http://:5601。 11. 输入前文在云服务器ECS\-Elasticsearch生成的令牌，并单击“Configure Elastic”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ddd52cac4c4d61f4b55c8c6e07048e83.png =368x) :::warning * 若无法连接，请您检查云服务器ECS\-Kibana所在安全组的入方向是否放通协议TCP、网段为0.0.0.0/0、端口为5601的流量。 * 云服务器ECS\-Elasticsearch生成的令牌30分钟内未使用就会过期，若已过期，请重新生成。 ::: 12. 输入验证码。 您可在云服务器ECS\-Kibana，执行`sudo systemctl status kibana`，获取6位验证码。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0d2135a13163f1d250fdfa1a841f46fb.png =675x) 13. 输入用户名和密码，用户名为“elastic”，密码为Elasticsearch安装时终端输出的elastic超级用户账户的密码，本文示例为`_Nf0kK+rP3_2=9qVLRp7`。 14. 单击 “Log in”按钮，登录成功。 Kibana已配置完成，并正在与Elasticsearch通信！ ### 步骤四：安装Filebeat 1. 登录云服务器ECS\-TrafficMirrorTarget。 2. 执行以下命令，并创建并切换到Filebeat\-install\-files目录。 ```JSON mkdir Filebeat-install-files cd Filebeat-install-files ``` 3. 执行以下命令，下载和解压Filebeat安装包。 ```JSON curl -L -O https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-8.17.2-linux-x86_64.tar.gz tar -xzvf filebeat-8.17.2-linux-x86_64.tar.gz ``` 4. 切换到云服务器ECS\-Elasticsearch，执行以下命令，获取filebeat.yml文件中的`ca_trusted_fingerprint`值。 `openssl x509 -fingerprint -sha256 -noout -in /etc/elasticsearch/certs/http_ca.crt` ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_e8fe49f0dc39a3259efc481121fe61a8.png =958x) 将返回值复制到本地文件，并去掉`:`号，例如：`A1F5C46689D24ADEB7CE84D76206BC52A8730D21A880CE3350C5B20ADC2027D3` 5. 切换到云服务器ECS\-TrafficMirrorTarget，进入Filebeat的安装包目录，打开filebeat.yml文件，配置Elasticsearch和Kibana的连接信息。 ```Bash # =================================== Kibana =================================== setup.kibana: host: "192.168.1.5:5601" #设置为kibana的IP地址 username: "elastic" password: "_Nf0kK+rP3_2=9qVLRp7" #本文设置为elasticsearch的注册密码 # ---------------------------- Elasticsearch Output ---------------------------- output.elasticsearch: hosts: ["192.168.1.4:9200"] #设置为elasticsearch的IP地址 protocol: "https" # 设置为HTTPS username: "elastic" password: "_Nf0kK+rP3_2=9qVLRp7" #设置为elasticsearch的注册密码 ssl: enabled: true ca_trusted_fingerprint: "A1F5C46689D24ADEB7CE84D76206BC52A8730D21A880CE3350C5B20ADC2027D3" # ca_trusted_fingerprint的值：在云服务器ECS-Elasticsearch，执行命令【openssl x509 -fingerprint -sha256 -noout -in /etc/elasticsearch/certs/http_ca.crt 】，将输入的结果[xx:xx:xx:xx]去掉冒号 ``` 6. 执行以下命令，查看filebeat可用的模块，确认`suricata`是否可用。 `./filebeat modules list` 7. 执行以下命令，启用`suricata`模块。 `./filebeat modules enable suricata` 8. 切换至modules.d目录，打开`suricata.yml`文件，配置如下信息。 ```Bash - module: suricata eve: enabled: true var.paths: ["/var/log/suricata/eve*"] #该路径为suricata的日志路径。 ``` 9. 切换至安装Filebeat二进制文件的目录，并运行Filebeat。 ```Bash cd .. ./filebeat test config -e ``` 10. 执行以下命令，设置assets。预计需要3分钟，请耐心等待。 `./filebeat setup -e` 11. 执行如下命令，启动Filebeat。 ```Bash sudo chown root filebeat.yml sudo chown root modules.d/suricata.yml sudo ./filebeat -e ``` ## 验证 1. 在本地电脑的浏览器中输入http://:5601。 2. 输入账号密码。 3. 在左侧导航树，选择“Discover”，按需输入命令进行分析。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_92cbcfb482d5aef45a72b89f731418f2.png =665x)

私有网络