Elastic Agent: sběr logů a metrik z Linuxu a Windows

Síťová zařízení posílají logy syslogem, protože na ně nic dalšího nainstalovat nejde. Na serverech a pracovních stanicích to jde, a tak tam FlowPro NG používá Elastic Agent. Agent sbírá logy i metriky výkonu, posílá je šifrovaně a jeho nastavení se mění centrálně z FlowPro NG, takže kvůli změně nemusíte na žádný počítač.

Tento návod ukazuje, jak agenta nasadit na Linux a Windows, co sbírá, jak sběr upravit a co s daty FlowPro NG dělá dál.

Jak agent funguje

Na serveru FlowPro NG běží Fleet Server, který agenty spravuje. Agent se při instalaci zaregistruje, stáhne si politiku (seznam toho, co má sbírat) a začne posílat data do Elasticsearch na serveru FlowPro NG. Když politiku změníte, agenti si ji během chvíle převezmou sami.

Výchozí politika sbírá:

• na Linuxu přihlašovací a bezpečnostní logy (/var/log/auth.log, /var/log/secure), systémové logy (/var/log/syslog, /var/log/messages) a záznamy ze systemd journalu,
• na Windows protokoly událostí Application, Security a System, tedy mimo jiné přihlášení, zamčení účtů, změny uživatelů a skupin nebo instalace služeb,
• na obou systémech metriky: využití procesoru, paměti, disků a sítě, zátěž, vstupně-výstupní operace disků, souborové systémy, procesy a dobu běhu.

Každý počítač s agentem se počítá do limitu agentů v licenci: 5 ve verzi zdarma, 50 v Core, 200 v Security a neomezeně v Enterprise.

Než začnete

• Počítač musí dosáhnout na server FlowPro NG na TCP portu 8220 (Fleet Server) a 443 (stažení instalačního skriptu).
• Instalační balíček agenta se stahuje z artifacts.elastic.co, takže počítač potřebuje při instalaci přístup do internetu.
• Instalace vyžaduje práva správce: sudo na Linuxu, PowerShell spuštěný jako správce na Windows.

Instalaci spustíte ve Infrastruktura → Systémoví agenti. Pro Linux je tam jednořádkový příkaz, pro Windows a macOS průvodce krok za krokem.

Linux: instalace jedním příkazem

V části Rychlá instalace FlowPro NG vygeneruje příkaz, který zkopírujete a spustíte na cílovém serveru. Vypadá zhruba takto:

curl -fsSL https://flowpro.example.com/api/v1/fleet/install.sh -H "X-Install-Token: …" -o /tmp/flowpro-install.sh && sudo bash /tmp/flowpro-install.sh ; rm -f /tmp/flowpro-install.sh

Token v příkazu platí hodinu, potom si vygenerujte nový. Skript zkontroluje systém (architekturu, paměť, místo na disku a spojení se serverem) a zjistí, zda už agent nainstalovaný není. Podle běžících služeb navrhne typ serveru: webový (Nginx, Apache), poštovní (Postfix, Dovecot) nebo obecný. Po potvrzení stáhne agenta, nainstaluje ho jako službu systemd a zaregistruje. Celé to trvá jednotky minut.

Skript se ptá v textovém menu, proto ho spouštějte v normálním terminálu nebo přes SSH, ne z automatizace bez terminálu.

Windows: instalace přes PowerShell

Pro Windows zvolte v průvodci Windows a typ agenta. FlowPro NG pak zobrazí příkazy s již doplněnou adresou serveru a registračním tokenem. Otevřete PowerShell jako správce a příkazy vložte. Průvodce je generuje v tomto tvaru:

Invoke-WebRequest -Uri "https://artifacts.elastic.co/downloads/beats/elastic-agent/elastic-agent-8.19.11-windows-x86_64.zip" -OutFile elastic-agent.zip
Expand-Archive .\elastic-agent.zip -DestinationPath .
cd elastic-agent-8.19.11-windows-x86_64
.\elastic-agent.exe install --url=https://192.0.2.10:8220 --enrollment-token=… --insecure --non-interactive

Agent se nainstaluje jako služba Windows a za necelou minutu se ozve. Parametr --insecure je tam proto, že Fleet Server na serveru FlowPro NG používá vlastní certifikát.

Kontrola v Infrastruktuře

Nový agent se do minuty objeví v Infrastruktuře na záložce Systémoví agenti, zatím žlutě jako nový. Tlačítkem Registrovat ho přidáte do evidence, pojmenujete a nastavíte mu kritičnost. Tabulka pak ukazuje stav, politiku, aktuální využití procesoru, paměti a disku, zátěž, síťový provoz a kdy agent naposledy poslal data.

Kliknutím na agenta otevřete jeho detail s informacemi o systému (operační systém, jádro, procesory, paměť, doba běhu), grafy metrik a přehledem událostí. Z detailu přejdete jedním tlačítkem do Průzkumníku logů, vyfiltrovaného na tento počítač.

Politiky: co přesně se sbírá

Co agent sbírá, určuje politika, ke které patří. FlowPro NG při instalaci připraví několik politik: obecné, pro webový a poštovní server a samostatné politiky pro linuxové servery, Proxmox a pro Windows stanice a servery. Politiky pro Windows navíc obsahují integraci Windows s protokoly PowerShellu, Sysmonu a čítači výkonu. Agenta přesunete do jiné politiky v jeho detailu volbou Změnit politiku.

Jednotlivé toky dat zapnete nebo vypnete v Nastavení → Integrace → Politiky agentů. U každé politiky je vidět, které integrace obsahuje, jaké soubory a protokoly čte a které metriky sbírá. Změna platí pro všechny agenty dané politiky a ukládá se do historie změn.

Některé integrace FlowPro NG přidává sám. Když na Windows serveru najde běžící webový server IIS, doplní do jeho politiky sběr logů a metrik IIS.

Hledání v logech

Logy z agentů najdete v Průzkumníku logů spolu s ostatními. Jednotlivé druhy logů rozlišuje pole event.dataset:

• system.auth: přihlášení na Linuxu, SSH, sudo a změny uživatelů,
• system.syslog: systémové logy Linuxu,
• system.security: protokol zabezpečení Windows,
• system.system a system.application: systémový a aplikační protokol Windows.

Dotaz event.dataset:system.auth AND process.name:sshd například vypíše všechny zprávy služby SSH ze všech linuxových serverů. Je v nich vidět i to, kdy sshd zahazuje spojení z adresy, která se opakovaně pokouší přihlásit.

U Windows se zprávy ukládají v jazyce systému, takže na české instalaci jsou česky. Detail události ukáže celou zprávu včetně účtu, domény a ID přihlášení.

Vyhodnocení: pravidla a upozornění

Nad daty z agentů běží detekční pravidla v Nastavení → Detekce a oznámení → Detekční pravidla. Na záložce Kategorie jsou pro agenty dvě skupiny: Linux (Fleet Agent) a Windows (Fleet Agent). Každá obsahuje stovky připravených pravidel Elastic, například pro přihlášení přes SSH z neobvyklé adresy nebo neobvyklým klíčem, vytvoření nového uživatele či skupiny, změny zajišťující útočníkovi trvalý přístup nebo podezřelé spouštění procesů. Tlačítko Aktivovat s daty zapne kategorie, pro které máte data.

Část pravidel pro Windows potřebuje doplňkové zdroje, například Sysmon nebo protokoly PowerShellu. Ty sbírají politiky pro Windows stanice a servery. Vlastní pravidlo si napíšete na záložce Seznam pravidel stejným dotazem jako v Průzkumníku logů.

Upozornění z pravidel se objeví v Centru událostí. Odtud je potvrdíte, uzavřete nebo označíte jako falešný poplach a přes notifikace je dostanete e-mailem nebo do chatu.

Odinstalace

Agenta odinstalujete na Linuxu příkazem sudo elastic-agent uninstall, na Windows v PowerShellu jako správce příkazem & 'C:\Program Files\Elastic\Agent\elastic-agent.exe' uninstall -f. Agent se při odinstalaci sám odhlásí a uvolní místo v licenci.

Jak spolu data z agentů, syslogu a NetFlow souvisí, popisuje článek Jak funguje FlowPro NG. Pro síťová zařízení je tu návod Sběr syslogu a pro síťové toky Sběr NetFlow. Víc o vyhodnocení logů najdete na stránce SIEM a správa logů. Agenty si můžete vyzkoušet i ve verzi zdarma. Postup je na stránce Vyzkoušet zdarma.