TP : Installer Kibana et explorer des logs avec KQL avec correction

Ce que vous allez apprendre dans ce TP

• Installer la stack en local
• Charger un jeu de données
• Écrire des requêtes KQL

Introduction #

Ce que vous allez apprendre dans cette section

• Installer la stack en local
• Charger un jeu de données
• Écrire des requêtes KQL

Contexte. Vous rejoignez une équipe qui utilise la suite Elastic. Avant de travailler sur les vrais logs, vous apprenez à chercher efficacement sur un jeu de données d'exemple.

Prérequis : Docker, 4 Go de RAM libres  ·  Durée estimée : 35 min

Chercher efficacement dans des logs.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Lancer la stack

   Pourquoi ? Le script officiel configure la sécurité et une licence d'essai : toutes les fonctions sont disponibles pour les TP.

   Exécutez start-local et récupérez le mot de passe de l'utilisateur elastic.
   Voir la correction

   curl -fsSL https://elastic.co/start-local | sh
   source elastic-start-local/.env && export PASS=$ES_LOCAL_PASSWORD
   curl -s -u elastic:$PASS localhost:9200 | jq .version.number

2. 2. Charger les données d'exemple

   Pourquoi ? Le jeu « web logs » contient des journaux d'accès réalistes sur plusieurs semaines, avec une data view et un dashboard.

   Installez-le par l'API (ou depuis l'accueil de Kibana).
   Voir la correction

   curl -s -X POST localhost:5601/api/sample_data/logs -u elastic:$PASS -H 'kbn-xsrf: true'
   curl -s localhost:9200/kibana_sample_data_logs/_count -u elastic:$PASS | jq .count

3. 3. Découvrir les champs

   Pourquoi ? Connaître les champs disponibles est le préalable à toute requête.

   Ouvrez Discover sur la data view Kibana Sample Data Logs (7 derniers jours). Quels sont les 5 pays d'origine (geo.src) les plus fréquents ?
   Voir la correction

   Un clic sur le champ geo.src dans la liste affiche ses valeurs les plus fréquentes et leur proportion.

4. 4. Requêtes KQL

   Pourquoi ? Chaque requête répond à une question d'exploitation concrète.

   Trouvez : (1) les réponses 503, (2) les requêtes de plus de 10 000 octets venant de Chine, (3) les téléchargements d'archives .zip sauf depuis Windows.
   Voir la correction

   response : 503
   bytes > 10000 and geo.src : "CN"
   extension : "zip" and not machine.os : win*

5. 5. Enregistrer et partager

   Pourquoi ? Une recherche enregistrée devient un composant de dashboard.

   Enregistrez la recherche des réponses 503 sous le nom « Erreurs 503 » avec les colonnes host, request et clientip.
   Voir la correction

   La recherche apparaît dans Discover (Open) et peut être ajoutée à un dashboard comme panneau.

Niveau de difficulté : ●●○○○ (2/5)