Projet de parcours : centraliser et exploiter les journaux de plusieurs serveurs

Ce que vous allez apprendre dans ce TP

• Collecter avec Elastic Agent et Fleet
• Structurer avec Logstash
• Conserver avec ILM
• Analyser, visualiser, alerter
• Sécuriser l'accès

Introduction #

Ce que vous allez apprendre dans cette section

• Collecter avec Elastic Agent et Fleet
• Structurer avec Logstash
• Conserver avec ILM
• Analyser, visualiser, alerter
• Sécuriser l'accès

Contexte. Vous mettez en œuvre tout le parcours sur un cas réel : la grille d'évaluation de l'article du projet indique ce qui valide votre travail.

Prérequis : le labo Fleet du TP 1 de la formation Elastic Agent, jq  ·  Durée estimée : 120 min

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Le labo et la collecte système

   Démarrez le labo du TP 1 Elastic Agent (Elasticsearch, Kibana, Fleet Server, un agent dans la politique lab-policy) et vérifiez que les logs système arrivent.

2. 2. La rétention de 30 jours

   Pourquoi ? Le modèle d'index dédié doit exister avant la création du data stream de l'application pour qu'il hérite de la politique ILM.

3. 3. Logstash pour l'application historique

   Générez un fichier de log, puis lancez Logstash sur le réseau du labo pour le structurer et l'envoyer dans logs-legacyapp-lab.

4. 4. Analyser et visualiser

   Écrivez les requêtes ES|QL du tableau de bord, puis construisez-le dans Kibana (Lens) : répartition des statuts, erreurs par minute, top des URL en erreur, volume de logs système par hôte.

5. 5. Alerter et sécuriser

   Créez une règle ES|QL qui alerte au-delà de 5 erreurs en 5 minutes (comme dans le TP d'alerte Kibana), puis un rôle et un utilisateur « lecteur » limités à la lecture des logs et du tableau de bord.

Niveau de difficulté : ●●●○○ (3/5)