ELK Stack
topic - Kurzbeschreibung
Beschreibung
Eine bei vielen Anwendern beliebte Option ist ELK Stack.
- Dabei handelt es sich um keine singuläre Lösung, sondern um ein Paket aus drei unterschiedlichen Open-Source-Tools, die zusammengenommen viele Funktionen bieten.
- Sie heißen Elasticsearch, Logstash und Kibana.
Elasticsearch ist die Basis von ELK Stack.
- Die Anwendung stellt die zentrale Engine zum Suchen und Analysieren der gesammelten Daten zur Verfügung.
- Sie kann entweder auf einem nur relativ schwach ausgestatteten Rechner oder auch in einem Cluster mit 300 Nodes aufgesetzt werden.
- Je nach Ausstattung und Konfiguration kann sie so auch Hunderte von PBytes an Daten indexieren.
Logstash ist die Komponente in ELK Stack, mit der sich die Log-Daten parsen lassen.
- Das Tool kann Daten aus einer Vielzahl von Quellen beziehen.
- Ein Beispiel sind etwa Logs, die auf mehreren Servern gespeichert sind.
- Anschließend werden die Daten an Elasticsearch zum Indexieren übergeben.
Kibana ist dagegen eine BI-Engine (Business Intelligence).
- Mit ihr ist es unter anderem möglich, Dashboards mit unterschiedlichsten Visualisierungen zu erstellen, um die vorhandenen Daten auszuwerten.
- Neben dieser Fähigkeit, Daten zu visualisieren, nutzt Kibana außerdem Methoden aus dem Bereich Maschinelles Lernen, um Anomalien in den analysierten Daten zu entdecken.
- Aus diesem Grund lässt sich ELK Stack auch als Werkzeug für Business Analytics einsetzen, obwohl es eigentlich eine Tool-Sammlung zum Überwachen und Verbessern der IT-Sicherheit ist.
Elasticsearch
Elasticsearch, vormals ELK Search, ist ein Paket von Software-Lösungen: ELK ist die Abkürzung der Komponentenprogramme Elasticsearch, Logstash und Kibana.
- Im Grunde ist Elasticsearch eine leistungsstarke, vielseitige Suite, der jedoch einige wichtige Funktionen fehlen.
Logstash und Beats liefern die Protokolleinträge.
- Beats sind schnelle, einfache Datenversand- und -erfassungseinträge, während Logstash diese Daten filtert und zahlreiche spezifische Plug-ins aktiviert.
- Elasticsearch ist der Motor, der die Untersuchung von Daten betreibt, und Kibana sorgt für die visuelle Darstellung.
Für ein volles SIEM jedoch mangelt es Elasticsearch an wichtigen Funktionen.
- Eine besondere Schwachstelle ist die Darstellung von Korrelationen, auch bietet es keine vorab eingestellten Warnmeldungen und kann von sich aus keine Ereignisverwaltung bereitstellen.
- Mit seiner leistungsfähigen Architektur, Anpassungsfähigkeit und den Open-Source-Merkmalen ist es jedoch kaum verwunderlich, dass Elasticsearch dennoch recht mächtig ist und auch die Basis für andere in dieser Liste genannten Optionen bietet.