Mise en place d'un système de gestion centralisé des logs et des évènements « SIEM »

Chapitre II : Réalisation

Une fois le package récupérer on passe à l'installation de Kibana avec la commande rpm.

sudo rpm -ivh kibana-7.11.2-x86_64.rpm

2.4 Installation de Nginx et httpd-tools

Nous allons installer Nginx à travers le gestionnaire de package de CentOS YUM qui va nous permettre de faire notre reverse proxy puis httpd-tools pour générer un mot de passe de protection pour l'accès à l'interface web de Kibana.

sudo yum -y install nginx httpd-tools

2.5 Installation de Logstash

Dans cette étape, nous allons télécharger Logstash puis l'installer.

wget https://artifacts.elastic.co/downloads/logstash/logstash-7.11.2-x86_64.rpm

Installation de Logstash avec la commande rpm.

rpm -ivh logstash-7.11.2-x86_64.rpm

2.6 Installation de Filebeat

Comme les autres packages nous allons récupérer le package sur le site officiel d'Elastic avec la commande wget.

wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.11.2-x86_64.rpm

Puis l'installer avec le gestionnaire de package rpm.

rpm -ivh filebeat7.11.2-x86_64.rpm

26

27

Chapitre II : Réalisation

3 Configuration de la pile Elastic

Après voir récupérer et installer tous les composants de notre stack sur notre serveur Elastic Stack, nous allons configurer les composants pour leurs premières utilisations et leurs permettre de communiquer entre eux.

3.1 Configuration d'Elasticsearch

Le fichier de configuration d'Elasticsearch est situé dans

"/etc/elasticsearch/elasticsearch.yml".

Dans ce fichier on va spécifier l'adresse d'association (bind address) du serveur ELK sur 0.0.0.0, pour permettre un accès distant depuis n'importe quelle machine et on garde le port d'écoute par défaut 9200. Pour les besoins d'une configuration à serveur unique, nous n'ajusterons que les paramètres pour l'hôte du réseau.

Nous allons utiliser l'éditeur de texte vim pour modifier le fichier de configuration principal d'Elasticsearch.

Figure 6 : Fichier de configuration Elasticsearch

On va spécifier dans l'option "discovery-type" qu'il s'agit d'un seul noeud.