Loganalyse mit dem ELK-Stack (3)

Zugriff auf die Sternenkarte

von Andreas Stolzenberger

In den ersten beiden Teilen dieses Workshops haben wir uns um die Konfiguration eines ELK-Knotens und das Log-Shipping mit Filebeat und Logstash gekümmert. Im abschließenden dritten Teil kümmern wir uns nun um die Visualisierung mit Kibana, alternative Log-Shipping-Tools, die Absicherung des Kibana-Frontends und den Ausbau eines Knotens zu einem Elasticsearch-Cluster.

Aus IT-Administrator 08/2019

Kommerzielle Software von der Stange oder quelloffene Produkte, die lizenzkostenfrei und flexibler sind, dafür aber oft entsprechendes Know-how voraussetzen? ... (mehr)

Mittlerweile arbeitet in unserem Beispiel-Setup eine Standalone-VM mit ELK und bezieht gefilterte Logdateien eines Nginx-Webservers. In der Kommandozeile lassen sich diese Informationen über die API von Elasticsearch abfragen und untersuchen. Doch die eigentliche Stärke des ELK-Stacks steckt in der grafischen Auswertung der gefilterten Logdaten.

Index für Kibana einrichten

Sobald Logdaten via Filebeat und Logstash in Elasticsearch eintreffen, kann Kibana mit der Visualisierung beginnen. Das UI erreichen Sie vorerst über die URL "http://»adresse-des-elk-servers:« 5601". Der Zugang lässt sich mit Hilfe eines Nginx-Reverse-Proxys via SSL und einer Benutzer/Passwort-Authentisierung absichern – dazu später mehr.

Damit Kibana überhaupt etwas visualisieren kann, benötigt es einen Index. So lange dieser nicht existiert, leitet das Menü "Discover" direkt zur Indexverwaltung um und fordert Sie auf, einen anzulegen. Später finden sich die Indizes im Menü "Management / Index Patterns". Unser Beispiel braucht den Index "nginx-*", der damit automatisch alle Nginx-Indizes von Elasticsearch zusammenfasst. Als Zeitbasis für die Sortierung dient das Feld "@timestamp". Sobald der Index steht, finden Sie unter dem Menüpunkt "Discover" die aktuellen und vergangenen Log-Informationen. Die Default-Ansicht zeigt alle Felder an, es lassen sich aber auch einzelne zur Darstellung selektieren. Bereits in der simplen Ansicht kommen die Stärken des ELK-Stacks zum Vorschein. Die Search-Bar erlaubt es, alle indizierten Informationen mit komplexen Filterregeln zu durchsuchen. Die Zeitselektion hilft dabei, die Suche auf vorgegebene Zeitabschnitte zu beschränken.

Integriert der Index Loginformationen verschiedener Dienste, können Sie mit den passenden Suchanfragen Fehler zwischen Diensten korrelieren. Da

...

Der komplette Artikel ist nur für Abonnenten des ADMIN Archiv-Abos verfügbar.