Contents
前提条件
1.Suricata
SURICATA IDS/IPSはネットワーク上の通信を監視し、不審なトラフィックを検知するオープンソースのIDSです。基本的な仕組みはシグネチャ型であるため、あらかじめ設定した不正な通信を検知できます。また、Suricataは検知だけでなく防御も行えることが特徴です。
2.Elastic Stack,Kibana,Filebeat
Elastic Stackをインストール＆設定して、Kibana,Filebeatを使用してSURICATAのログを可視化＆検索できるようにする
今回はSuricata IDS と ElasticStack を 次のサーバーにインストールします
・1台目サーバー Suricata IDS & Filebeat : ArchLinux IPアドレス(192.168.11.83)
・2台目サーバー ElasticStack & kibana : Debian13.x IPアドレス(192.168.11.85)
今回はrootユーザーで実行します
1台目サーバー Suricata インストール
1.Suricata のインストールと設定
①Suricata のインストール
|
1 2 3 4 5 6 |
# su - huong $ yay -S suricata-nfqueue バージョンチェック # suricata -V This is Suricata version 8.0.2 RELEASE |
➁必要なカーネルモジュールの確認とロード
NFQUEUEを使用するには、カーネルがnfnetlink_queueをサポートしている必要があります。
モジュールの確認:
|
1 |
# lsmod | grep nfnetlink_queue |
上記で何も表示されない場合、モジュールをロードする
|
1 |
# modprobe nfnetlink_queue |
再度確認
|
1 2 3 |
# lsmod | grep nfnetlink_queue nfnetlink_queue 32768 1 nfnetlink 20480 4 nfnetlink_queue |
再起動後も有効にする
|
1 |
# echo "nfnetlink_queue" | tee /etc/modules-load.d/nfqueue.conf |
➂Suricataがネットワークパケットを検査するインターフェースとIPアドレスを決定
|
1 2 3 |
# ip --brief add lo UNKNOWN 127.0.0.1/8 ::1/128 ens33 UP 192.168.11.83/24 fe80::20c:29ff:fe17:39f1/64 |
④設定ファイルを編集
|
1 2 3 4 5 6 7 8 9 10 11 12 |
# vi /etc/suricata/suricata.yaml # 18行目 : コメントアウトしてその下に追加(varsセクションで、ネットワークを定義する) #HOME_NET: "[192.168.0.0/16,10.0.0.0/8,172.16.0.0/12]" HOME_NET: "[192.168.11.0/24]" # 158行目あたり : 変更 community-id: false → community-id: true # 661行目あたり : af-packetセクションのインターフェース名を設定 af-packet: - interface: ens33 |
ディレクトリーの所有権、実行権限を設定
|
1 2 |
# chown -R root:root /tmp # chmod 775 /tmp |
⑤Suricataの起動
|
1 2 3 |
# systemctl start suricata # systemctl enable --now suricata Created symlink /etc/systemd/system/multiuser.target.wants/suricata.service → /usr/lib/systemd/system/suricata.service. |
⑥Suricataの起動確認
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 |
# systemctl status suricata ● suricata.service - Suricata IDS/IPS daemon Loaded: loaded (/usr/lib/systemd/system/suricata.service; enabled; preset: disabled) Active: active (running) since Sat 2026-03-07 09:51:32 JST; 15s ago Invocation: 5dd2b3c4d6844e2083a178dc38022b22 Main PID: 32508 (Suricata-Main) Tasks: 10 (limit: 4604) Memory: 46.8M (peak: 47M) CPU: 179ms CGroup: /system.slice/suricata.service └─32508 /usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /run/suricata/suricata.pid -q 0 Mar 07 09:51:32 Lepard systemd[1]: Started Suricata IDS/IPS daemon. Mar 07 09:51:32 Lepard suricata[32508]: Info: conf-yaml-loader: Including configuration file local.yaml. Mar 07 09:51:32 Lepard suricata[32508]: i: suricata: This is Suricata version 8.0.2 RELEASE running in SYSTEM mode Mar 07 09:51:32 Lepard suricata[32508]: W: detect: No rule files match the pattern /var/lib/suricata/rules/suricata.rules Mar 07 09:51:32 Lepard suricata[32508]: W: detect: 2 rule files specified, but no rules were loaded! Mar 07 09:51:32 Lepard suricata[32508]: i: mpm-hs: Rule group caching - loaded: 0 newly cached: 0 total cacheable: 0 Mar 07 09:51:32 Lepard suricata[32508]: i: threads: Threads created -> RX: 1 W: 2 TX: 1 FM: 1 FR: 1 Engine started. |
ログを確認
|
1 |
# tail /var/log/suricata/suricata.log |
統計情報を確認するには、stats.log ファイルを確認します(デフォルトで8秒ごとに更新)
|
1 |
# tail -f /var/log/suricata/stats.log |
より高度な出力であるEVE JSONは、以下のコマンドで生成することができる
|
1 |
# tail -f /var/log/suricata/eve.json |
2.Suricata のテスト
①一時的にnfqueueモードを停止する
|
1 2 3 4 5 |
# vi /usr/lib/systemd/system/suricata.service 12行目 : コメントにして、その下に追加 #ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /run/suricata/suricata.pid -q 0 ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /run/suricata/suricata.pid -i ens33 --user suricata |
➁curl ユーティリティで ping テストを実行
|
1 2 |
# curl http://testmynids.org/uid/index.html uid=0(root) gid=0(root) groups=0(root) |
➂指定されたルール番号を使用してログファイルを確認する
Suricataには、デフォルトで有効になっている次の2つのログファイルが付属しています。
/var/log/suricata/fast.log
/var/log/suricata/eve.log
curlリクエストに対応するログエントリーを確認するために、/var/log/suricata/fast.log ログファイルをgrepコマンドを使用してチェックします。2100498 ルール識別子を使用してログエントリーを検索します。(IPv4の場合)
|
1 2 3 |
# grep 2100498 /var/log/suricata/fast.log 03/07/2026-10:18:54.244566 [**] [1:2100498:7] GPL ATTACK_RESPONSE id check returned root [**] [Classification: Potentially Bad Traffic] [Priority: 2] {TCP} 13.249.165.123:80 -> 192.168.11.83:53322 |
④/var/log/suricata/eve.log のイベント確認
jq をインストール
|
1 |
# pacman -S jq |
2100498シグネチャを検索して、EVEログのイベントをフィルタリング
2100498の値と一致するsignature_idキーを持つalertオブジェクトを表示
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 |
# jq 'select(.alert .signature_id==2100498)' /var/log/suricata/eve.json { "timestamp": "2026-03-07T10:18:54.244566+0900", "flow_id": 1792631861341614, "in_iface": "ens33", "event_type": "alert", "src_ip": "13.249.165.123", "src_port": 80, "dest_ip": "192.168.11.83", "dest_port": 53322, "proto": "TCP", "ip_v": 4, "pkt_src": "wire/pcap", "community_id": "1:szOE3aOZBYbhTrHzHaSvbQf2ZA4=", "alert": { "action": "allowed", "gid": 1, "signature_id": 2100498, "rev": 7, "signature": "GPL ATTACK_RESPONSE id check returned root", "category": "Potentially Bad Traffic", "severity": 2, "metadata": { "confidence": [ "Medium" ], "created_at": [ "2010_09_23" ], "signature_severity": [ "Informational" ], "updated_at": [ "2019_07_26" ] } }, "app_proto": "http", "direction": "to_client", "flow": { "pkts_toserver": 5, "pkts_toclient": 4, "bytes_toserver": 430, "bytes_toclient": 810, "start": "2026-03-07T10:18:54.220771+0900", "src_ip": "192.168.11.83", "dest_ip": "13.249.165.123", "src_port": 53322, "dest_port": 80 } } |
3.Suricata Rulesの設定
①Suricataにパッケージされているルールセットの表示
|
1 2 3 4 5 6 7 |
# ls -al /var/lib/suricata/rules/ total 41668 drwxr-x--- 2 suricata suricata 4096 Mar 2 15:15 . drwxr-x--- 5 suricata suricata 4096 Mar 2 15:11 .. -rw-r--r-- 1 root root 3228 Mar 2 15:15 classification.config -rw-r----- 1 suricata suricata 0 Mar 2 15:05 local.rules -rw-r--r-- 1 root root 42654947 Mar 2 15:15 suricata.rules |
②ルールセットを提供するソースのインデックス一覧
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 |
# suricata-update list-sources Name: abuse.ch/feodotracker Vendor: Abuse.ch Summary: Abuse.ch Feodo Tracker Botnet C2 IP ruleset License: CC0-1.0 Name: abuse.ch/sslbl-blacklist Vendor: Abuse.ch Summary: Abuse.ch SSL Blacklist License: CC0-1.0 Replaces: sslbl/ssl-fp-blacklist Name: abuse.ch/sslbl-c2 Vendor: Abuse.ch Summary: Abuse.ch Suricata Botnet C2 IP Ruleset License: CC0-1.0 Name: abuse.ch/sslbl-ja3 Vendor: Abuse.ch Summary: Abuse.ch Suricata JA3 Fingerprint Ruleset License: CC0-1.0 Replaces: sslbl/ja3-fingerprints Name: abuse.ch/urlhaus Vendor: abuse.ch Summary: Abuse.ch URLhaus Suricata Rules License: CC0-1.0 Name: aleksibovellan/nmap Vendor: aleksibovellan Summary: Suricata IDS/IPS Detection Rules Against NMAP Scans License: MIT Name: et/open Vendor: Proofpoint Summary: Emerging Threats Open Ruleset License: MIT Name: et/pro Vendor: Proofpoint Summary: Emerging Threats Pro Ruleset License: Commercial Replaces: et/open Parameters: secret-code Subscription: https://www.proofpoint.com/us/threat-insight/et-pro-ruleset Name: etnetera/aggressive Vendor: Etnetera a.s. Summary: Etnetera aggressive IP blacklist License: MIT Name: oisf/trafficid Vendor: OISF Summary: Suricata Traffic ID ruleset License: MIT Name: pawpatrules Vendor: pawpatrules Summary: PAW Patrules is a collection of rules for IDPS / NSM Suricata engine License: CC-BY-SA-4.0 Name: ptrules/open Vendor: Positive Technologies Summary: Positive Technologies Open Ruleset License: Custom Name: scwx/enhanced Vendor: Secureworks Summary: Secureworks suricata-enhanced ruleset License: Commercial Parameters: secret-code Subscription: https://www.secureworks.com/contact/ (Please reference CTU Countermeasures) Name: scwx/malware Vendor: Secureworks Summary: Secureworks suricata-malware ruleset License: Commercial Parameters: secret-code Subscription: https://www.secureworks.com/contact/ (Please reference CTU Countermeasures) Name: scwx/security Vendor: Secureworks Summary: Secureworks suricata-security ruleset License: Commercial Parameters: secret-code Subscription: https://www.secureworks.com/contact/ (Please reference CTU Countermeasures) Name: stamus/lateral Vendor: Stamus Networks Summary: Lateral movement rules License: GPL-3.0-only Name: stamus/nrd-14-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 14 day list, complete License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: stamus/nrd-30-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 30 day list, complete License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: stamus/nrd-entropy-14-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 14 day list, high entropy License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: stamus/nrd-entropy-30-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 30 day list, high entropy License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: stamus/nrd-phishing-14-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 14 day list, phishing License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: stamus/nrd-phishing-30-open Vendor: Stamus Networks Summary: Newly Registered Domains Open only - 30 day list, phishing License: Commercial Parameters: secret-code Subscription: https://www.stamus-networks.com/stamus-labs/subscribe-to-threat-intel-feed Name: tgreen/hunting Vendor: tgreen Summary: Threat hunting rules License: GPLv3 |
③ソースを有効にする(tgreen/huntingを有効にする場合)
|
1 2 3 4 5 6 7 8 9 10 |
# suricata-update enable-source tgreen/hunting 2/3/2026 -- 15:27:59 - <Info> -- Using data-directory /var/lib/suricata. 2/3/2026 -- 15:27:59 - <Info> -- Using Suricata configuration /etc/suricata/suricata.yaml 2/3/2026 -- 15:27:59 - <Info> -- Using /usr/share/suricata/rules for Suricata provided rules. 2/3/2026 -- 15:27:59 - <Info> -- Found Suricata version 8.0.3 at /usr/bin/suricata. 2/3/2026 -- 15:27:59 - <Warning> -- Source index does not exist, will use bundled one. 2/3/2026 -- 15:27:59 - <Warning> -- Please run suricata-update update-sources. 2/3/2026 -- 15:27:59 - <Info> -- Creating directory /var/lib/suricata/update/sources 2/3/2026 -- 15:27:59 - <Info> -- Enabling default source et/open 2/3/2026 -- 15:27:59 - <Info> -- Source tgreen/hunting enabled |
アップデートを実行
|
1 |
# suricata-update update-sources |
Suricata service再起動
|
1 |
# systemctl restart suricata |
4. SuricataをIPSに設定する
①nfqueueモードに戻す
|
1 2 3 4 5 6 7 |
# vi /usr/lib/systemd/system/suricata.service 12行目 : コメント解除 ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /run/suricata/suricata.pid -q 0 13行目 : コメント #ExecStart=/usr/bin/suricata -c /etc/suricata/suricata.yaml --pidfile /run/suricata/suricata.pid -i ens33 --user suricata |
|
1 2 |
# systemctl daemon-reload # systemctl restart suricata |
非SSHポートへのSSHトラフィックをスキャンする以下のカスタム署名を作成し、/var/lib/suricata/rules/local.rulesというファイルにインクルードする(SSHポートを22と仮定)
|
1 2 |
# vi /var/lib/suricata/rules/local.rules alert ssh any any -> 192.168.11.83 !22 (msg:"SSH TRAFFIC on non-SSH port"; flow:to_client, not_established; classtype: misc-attack; target: dest_ip; sid:1000000;) |
SURICATA設定ファイルを編集
|
1 2 3 4 5 6 |
# vi /etc/suricata/suricata.yaml 2304行目 : 追加 rule-files: - suricata.rules - local.rules |
SURICATAの設定を検証
|
1 2 3 4 5 |
# suricata -T -c /etc/suricata/suricata.yaml -v Info: detect: 48799 signatures processed. 1242 are IP-only rules, 4477 are inspecting packet payload, 42845 inspect application layer, 110 are decoder event only Notice: mpm-hs: Rule group caching - loaded: 33 newly cached: 80 total cacheable: 113 Notice: suricata: Configuration provided was successfully loaded. Exiting. |
Suricataを再起動
|
1 |
# systemctl restart suricata.service |
入ってくるネットワーク・トラフィックをSuricataのNFQUEUEに向ける
Firewalld がインストールされ、有効になっているのでSuricataに必要なルールをFirewalldに追加する(SSHポートを22と仮定)
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 |
# vi /etc/ufw/before.rules 18行目当たりに追加 # Don't delete these required lines, otherwise there will be errors *filter :ufw-before-input - [0:0] :ufw-before-output - [0:0] :ufw-before-forward - [0:0] :ufw-not-local - [0:0] # End required lines ## Start Suricata NFQUEUE rules -I INPUT 1 -p tcp --dport 22 -j NFQUEUE --queue-bypass -I OUTPUT 1 -p tcp --sport 22 -j NFQUEUE --queue-bypass -I FORWARD -j NFQUEUE -I INPUT 2 -j NFQUEUE -I OUTPUT 2 -j NFQUEUE ## End Suricata NFQUEUE rules |
同様に/etc/ufw/before6.rulesも編集する
|
1 |
# ufw reload |
SURICATA がトラフィックを正しくドロップしていることを確認
シグネチャのデフォルトアクションをalertやlogからactive dropping trafficに切り替える
/var/lib/suricata/rules/suricata.rulesファイルを開き、sid:2100498に該当するものがあれば コメントアウトする
|
1 2 |
# vi /var/lib/suricata/rules/suricata.rules #alert ip any any -> any any (msg:"GPL ATTACK_RESPONSE id check returned root"; content:"uid=0|28|root|29|"; classtype:bad-unknown; sid:2100498; rev:7; metadata:created_at 2010_09_23, confidence Medium, signature_severity Informational, updated_at 2019_07_26;) |
/var/lib/suricata/rules/local.rulesにsid:2100498として新規作成する
|
1 2 3 |
# vi /var/lib/suricata/rules/local.rules drop ip any any -> any any (msg:"GPL ATTACK_RESPONSE id check returned root"; content:"uid=0|28|root|29|"; classtype:bad-unknown; sid:2100498; rev:7; metadata:created_at 2010_09_23, confidence Medium, signature_severity Informational, updated_at 2019_07_26;) |
シグネチャを再読み込み
|
1 |
# kill -usr2 $(pidof suricata) |
curlを使ってこのルールをテスト
|
1 2 |
# curl --max-time 5 http://testmynids.org/uid/index.html curl: (28) Operation timed out after 5001 milliseconds with 0 out of 39 bytes received |
jqを使ってeve.logファイルを調べる
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 |
# jq 'select(.alert .signature_id==2100498)' /var/log/suricata/eve.json { "timestamp": "2026-03-07T12:11:02.128713+0900", "flow_id": 1901429235026622, "event_type": "alert", "src_ip": "13.249.165.82", "src_port": 80, "dest_ip": "192.168.11.83", "dest_port": 39328, "proto": "TCP", "ip_v": 4, "pkt_src": "wire/pcap", "community_id": "1:BGDLOlDjHL4OBlp4Mdf8l73Gqwo=", "alert": { "action": "blocked", "gid": 1, "signature_id": 2100498, "rev": 7, "signature": "GPL ATTACK_RESPONSE id check returned root", "category": "Potentially Bad Traffic", "severity": 2, "metadata": { "confidence": [ "Medium" ], "created_at": [ "2010_09_23" ], "signature_severity": [ "Informational" ], "updated_at": [ "2019_07_26" ] } }, "app_proto": "http", "direction": "to_client", "flow": { "pkts_toserver": 3, "pkts_toclient": 4, "bytes_toserver": 256, "bytes_toclient": 754, "start": "2026-03-07T12:11:02.115030+0900", "src_ip": "192.168.11.83", "dest_ip": "13.249.165.82", "src_port": 39328, "dest_port": 80 } } |
"action": "blocked",になっている
ELK StackとSURICATAの統合
Elastic Stackをインストール＆設定して、SURICATAのログをより効率的に可視化＆検索できるようにする
本セクションは基本的には2台目のDebian13.xサーバー(Ip 192.168.11.85)で行います
具体的な手順は下記ページを参照してください
Elasticsearchの起動
サービスを起動・有効化
systemctl daemon-reload
systemctl enable --now elasticsearch
systemctl start elasticsearch動作確認
curlコマンドを使用して、Elasticsearchが動作しているか確認します。
elasticのパスワードを要求されます
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 |
# curl --cacert /etc/elasticsearch/certs/http_ca.crt -u elastic https://192.168.11.85:9200 Enter host password for user 'elastic': { "name" : "Lion", "cluster_name" : "elasticsearch", "cluster_uuid" : "AJeXST6-TtKDXtYRG0MSaA", "version" : { "number" : "9.3.1", "build_flavor" : "default", "build_type" : "deb", "build_hash" : "0dd66e52ba3aa076cf498264e46339dbb71f0269", "build_date" : "2026-02-23T23:37:38.684779921Z", "build_snapshot" : false, "lucene_version" : "10.3.2", "minimum_wire_compatibility_version" : "8.19.0", "minimum_index_compatibility_version" : "8.0.0" }, "tagline" : "You Know, for Search" } |
Kibanaインストール
Kibanaをインストール＆設定して、SURICATAのログを可視化できるようにする
本セクションは基本的には2台目のDebian13.xサーバー(Ip 192.168.11.85)で行います
kibanaインストールからKibana9 ダッシュボードにアクセスする具体的な手順は下記ページを参照してください
SURICATAサーバにFilebeatをインストール
1.インストール
|
1 |
$ yay -S filebeat-bin |
2. Elasticsearch CA証明書作成
Elasticsearch CA証明書をダウンロードし、任意のディレクトリに保存します（今回は/etc/filebeat/elastic-ca.crtとして保存します）
※第2サーバー(Debian13.x Elasticsearchを導入したサーバー)で9200ポートを開放しておく
|
1 2 3 |
# openssl s_client -connect 192.168.11.85:9200 \ -showcerts </dev/null 2>/dev/null | \ openssl x509 -outform PEM > /etc/filebeat/elastic-ca.crt |
3. FilebeatをElasticsearchとKibanaに接続するように設定
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 |
# vi /etc/filebeat/filebeat.yml 137行目コメントアウトされた#host: "localhost:5601"行の下に、KibanaインスタンスのプライベートIPアドレスとポートを指す行を追加する host: "192.168.11.85:5601" 164行目 : コメントアウト #hosts: ["localhost:9200"] 165行目 : Elastic Stack のipアドレスとelasticsearchのポート番号を入力 hosts: ["https://192.168.11.85:9200"] 171行目 : コメント解除 protocol: "https" 172行目 : Elasticsearch CA証明書指定 ssl.certificate_authorities: ["/etc/filebeat/elastic-ca.crt"] 175,176行目コメント解除し、[username]はデフォルトのままにし、[password]は[elastic]ユーザーのパスワードを入力する username: "elastic" password: “xxxxxxxxx" |
4. 設定ファイルテスト
|
1 2 |
# filebeat test config Config OK |
5. Filebeatsの組み込みSuricataモジュールを有効にする
|
1 |
# filebeat modules enable suricata |
上記コマンドにより /etc/filebeat/modules.d/suricata.yml.disabled が/etc/filebeat/modules.d/suricata.yml になりますが内容は変化しませんので以下のように編集します
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
# vi /etc/filebeat/modules.d/suricata.yml # Module: suricata # Docs: https://www.elastic.co/guide/en/beats/filebeat/main/filebeat-module-suricata.html - module: suricata # All logs eve: enabled: true var.paths: ["/var/log/suricata/eve.json"] # Set custom paths for the log files. If left empty, # Filebeat will choose the paths depending on your OS. #var.paths: |
6. 初期環境をセットアップ
Suricataサービスにpipeline
SIEMダッシュボードをElasticsearchにロードします
|
1 2 3 4 5 6 7 8 9 10 11 |
# filebeat setup -e -------------------------------------------------------------------------------- {"log.level":"info","@timestamp":"2026-03-19T15:52:19.174+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-pipeline","ecs.version":"1.6.0"} {"log.level":"info","@timestamp":"2026-03-19T15:52:19.299+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-dns","ecs.version":"1.6.0"} {"log.level":"info","@timestamp":"2026-03-19T15:52:19.475+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-dns-answer-v1","ecs.version":"1.6.0"} {"log.level":"info","@timestamp":"2026-03-19T15:52:19.695+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-dns-answer-v2","ecs.version":"1.6.0"} {"log.level":"info","@timestamp":"2026-03-19T15:52:19.869+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-tls","ecs.version":"1.6.0"} {"log.level":"info","@timestamp":"2026-03-19T15:52:20.060+0900","log.logger":"modules","log.origin":{"function":"github.com/elastic/beats/v7/filebeat/fileset.LoadPipeline","file.name":"fileset/pipelines.go","file.line":134},"message":"Elasticsearch pipeline loaded.","service.name":"filebeat","pipeline":"filebeat-9.2.3-suricata-eve-http","ecs.version":"1.6.0"} ------------------------------------------------------------------------------------- |
7. Filebeatサービスを開始
|
1 |
# systemctl start filebeat.service |
以降、下記ページを参照してください
