TP : Installer Kibana et explorer des logs avec KQL

Ce que vous allez apprendre dans ce TP

• Installer la stack en local
• Charger un jeu de données
• Écrire des requêtes KQL

Introduction #

Ce que vous allez apprendre dans cette section

• Installer la stack en local
• Charger un jeu de données
• Écrire des requêtes KQL

Contexte. Vous rejoignez une équipe qui utilise la suite Elastic. Avant de travailler sur les vrais logs, vous apprenez à chercher efficacement sur un jeu de données d'exemple.

Prérequis : Docker, 4 Go de RAM libres  ·  Durée estimée : 35 min

Chercher efficacement dans des logs.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Lancer la stack

   Pourquoi ? Le script officiel configure la sécurité et une licence d'essai : toutes les fonctions sont disponibles pour les TP.

   Exécutez start-local et récupérez le mot de passe de l'utilisateur elastic.

2. 2. Charger les données d'exemple

   Pourquoi ? Le jeu « web logs » contient des journaux d'accès réalistes sur plusieurs semaines, avec une data view et un dashboard.

   Installez-le par l'API (ou depuis l'accueil de Kibana).

3. 3. Découvrir les champs

   Pourquoi ? Connaître les champs disponibles est le préalable à toute requête.

   Ouvrez Discover sur la data view Kibana Sample Data Logs (7 derniers jours). Quels sont les 5 pays d'origine (geo.src) les plus fréquents ?

4. 4. Requêtes KQL

   Pourquoi ? Chaque requête répond à une question d'exploitation concrète.

   Trouvez : (1) les réponses 503, (2) les requêtes de plus de 10 000 octets venant de Chine, (3) les téléchargements d'archives .zip sauf depuis Windows.

5. 5. Enregistrer et partager

   Pourquoi ? Une recherche enregistrée devient un composant de dashboard.

   Enregistrez la recherche des réponses 503 sous le nom « Erreurs 503 » avec les colonnes host, request et clientip.

Niveau de difficulté : ●●○○○ (2/5)