Proyecto del itinerario: centralizar y explotar los logs de varios servidores

Lo que vas a aprender en este TP

• Recoger con Elastic Agent y Fleet
• Estructurar con Logstash
• Conservar con ILM
• Analizar, visualizar, alertar
• Proteger el acceso

Introducción #

Lo que vas a aprender en esta sección

• Recoger con Elastic Agent y Fleet
• Estructurar con Logstash
• Conservar con ILM
• Analizar, visualizar, alertar
• Proteger el acceso

Contexto. Aplicas todo el itinerario a un caso real: la tabla de evaluación del artículo del proyecto indica lo que valida tu trabajo.

Requisitos: el laboratorio Fleet de la práctica 1 del curso Elastic Agent, jq  ·  Duración estimada: 120 min

Puesta en práctica #

Pasos guiados, con su corrección.

1. 1. El laboratorio y la recogida del sistema

   Arranca el laboratorio de la práctica 1 de Elastic Agent (Elasticsearch, Kibana, Fleet Server, un agente en lab-policy) y comprueba que llegan los logs del sistema.

2. 2. Retención de 30 días

   ¿Por qué? La plantilla de índice dedicada debe existir antes de crear el data stream de la aplicación para que herede la política ILM.

3. 3. Logstash para la aplicación heredada

   Genera un archivo de log y lanza Logstash en la red del laboratorio para estructurarlo y enviarlo a logs-legacyapp-lab.

4. 4. Analizar y visualizar

   Escribe las consultas ES|QL del panel y constrúyelo en Kibana (Lens): reparto de estados, errores por minuto, URL con más errores, volumen de logs del sistema por host.

5. 5. Alertar y proteger

   Crea una regla ES|QL que alerte a partir de 5 errores en 5 minutos (como en la práctica de alertas de Kibana) y un rol y un usuario «lector» limitados a leer los logs y el panel.

Nivel de dificultad : ●●●○○ (3/5)