Elastic Agent: recogida de logs y métricas de Linux y Windows

Los dispositivos de red envían sus logs por syslog porque en ellos no se puede instalar nada más. En servidores y estaciones de trabajo sí se puede, así que FlowPro NG utiliza allí Elastic Agent. El agente recoge tanto logs como métricas de rendimiento, los envía cifrados y su configuración se cambia de forma centralizada desde FlowPro NG, sin tener que ir a ningún equipo.

Esta guía muestra cómo desplegar el agente en Linux y Windows, qué recoge, cómo ajustar la recogida y qué hace FlowPro NG con los datos después.

Cómo funciona el agente

En el servidor FlowPro NG funciona un Fleet Server que gestiona los agentes. Durante la instalación, el agente se registra, descarga su política (la lista de lo que debe recoger) y empieza a enviar datos a Elasticsearch en el servidor FlowPro NG. Cuando cambia la política, los agentes la adoptan por sí solos en poco tiempo.

La política predeterminada recoge:

• en Linux, los logs de inicio de sesión y seguridad (/var/log/auth.log, /var/log/secure), los logs del sistema (/var/log/syslog, /var/log/messages) y el journal de systemd,
• en Windows, los registros de eventos Application, Security y System, que incluyen, entre otras cosas, inicios de sesión, bloqueos de cuentas, cambios de usuarios y grupos e instalaciones de servicios,
• en ambos sistemas, métricas: uso de CPU, memoria, discos y red, carga, E/S de disco, sistemas de archivos, procesos y tiempo de actividad.

Cada equipo con agente cuenta para el límite de agentes de la licencia: 5 en la versión gratuita, 50 en Core, 200 en Security e ilimitados en Enterprise.

Antes de empezar

• El equipo debe poder llegar al servidor FlowPro NG por el puerto TCP 8220 (Fleet Server) y el 443 (descarga del script de instalación).
• El paquete del agente se descarga de artifacts.elastic.co, así que el equipo necesita acceso a internet durante la instalación.
• La instalación requiere permisos de administrador: sudo en Linux y PowerShell ejecutado como administrador en Windows.

La instalación se inicia en Infraestructura → Agentes de sistema. Para Linux hay un comando de una línea; para Windows y macOS, un asistente paso a paso.

Linux: instalación con un solo comando

En la sección Instalación rápida, FlowPro NG genera un comando que copia y ejecuta en el servidor de destino. Tiene más o menos este aspecto:

curl -fsSL https://flowpro.example.com/api/v1/fleet/install.sh -H "X-Install-Token: …" -o /tmp/flowpro-install.sh && sudo bash /tmp/flowpro-install.sh ; rm -f /tmp/flowpro-install.sh

El token del comando es válido durante una hora; después, genere uno nuevo. El script comprueba el sistema (arquitectura, memoria, espacio en disco y conexión con el servidor) y si ya hay un agente instalado. Según los servicios en ejecución, propone un tipo de servidor: web (Nginx, Apache), correo (Postfix, Dovecot) o general. Tras su confirmación, descarga el agente, lo instala como servicio de systemd y lo registra. Todo lleva unos pocos minutos.

El script hace preguntas en un menú de texto, así que ejecútelo en un terminal normal o por SSH, no desde una automatización sin terminal.

Windows: instalación con PowerShell

Para Windows, elija Windows y un tipo de agente en el asistente. FlowPro NG muestra entonces los comandos con la dirección del servidor y el token de registro ya completados. Abra PowerShell como administrador y pegue los comandos. El asistente los genera de esta forma:

Invoke-WebRequest -Uri "https://artifacts.elastic.co/downloads/beats/elastic-agent/elastic-agent-8.19.11-windows-x86_64.zip" -OutFile elastic-agent.zip
Expand-Archive .\elastic-agent.zip -DestinationPath .
cd elastic-agent-8.19.11-windows-x86_64
.\elastic-agent.exe install --url=https://192.0.2.10:8220 --enrollment-token=… --insecure --non-interactive

El agente se instala como servicio de Windows y se conecta en menos de un minuto. El parámetro --insecure está ahí porque el Fleet Server del servidor FlowPro NG usa su propio certificado.

Comprobación en Infraestructura

En menos de un minuto, el nuevo agente aparece en Infraestructura, pestaña Agentes de sistema, al principio en amarillo como nuevo. El botón Registrar lo añade al inventario, donde le pone nombre y le asigna una criticidad. La tabla muestra entonces el estado, la política, el uso actual de CPU, memoria y disco, la carga, el tráfico de red y cuándo envió datos el agente por última vez.

Al hacer clic en un agente se abre su detalle con información del sistema (sistema operativo, kernel, CPU, memoria, tiempo de actividad), gráficos de métricas y un resumen de eventos. Desde el detalle, un botón le lleva al Log Explorer filtrado para ese equipo.

Políticas: qué se recoge exactamente

Lo que recoge un agente lo determina la política a la que pertenece. Durante la instalación, FlowPro NG prepara varias políticas: generales, para servidores web y de correo, y políticas propias para servidores Linux, Proxmox y estaciones y servidores Windows. Las políticas de Windows incluyen además la integración de Windows con los registros de PowerShell y Sysmon y los contadores de rendimiento. Para pasar un agente a otra política, use Cambiar política en su detalle.

Los flujos de datos se activan o desactivan uno a uno en Configuración → Integraciones → Política de agentes. En cada política se ve qué integraciones contiene, qué archivos y registros lee y qué métricas recoge. Un cambio se aplica a todos los agentes de esa política y queda en el historial de cambios.

Algunas integraciones las añade FlowPro NG por sí mismo. Cuando encuentra un servidor web IIS en ejecución en un servidor Windows, añade a su política la recogida de logs y métricas de IIS.

Búsqueda en los logs

Los logs de los agentes están en el Log Explorer, junto con todos los demás. El campo event.dataset distingue los tipos de logs:

• system.auth: inicios de sesión en Linux, SSH, sudo y cambios de usuarios,
• system.syslog: logs del sistema Linux,
• system.security: el registro de seguridad de Windows,
• system.system y system.application: los registros System y Application de Windows.

Por ejemplo, la consulta event.dataset:system.auth AND process.name:sshd muestra todos los mensajes del servicio SSH de todos los servidores Linux. En ellos se ve también cuándo sshd descarta conexiones de una dirección que intenta iniciar sesión una y otra vez.

Windows guarda los mensajes en el idioma del sistema, así que en una instalación checa aparecen en checo. El detalle del evento muestra el mensaje completo, incluidos la cuenta, el dominio y el ID de inicio de sesión.

Evaluación: reglas y alertas

Sobre los datos de los agentes funcionan reglas de detección en Configuración → Detección y avisos → Reglas de detección. En la pestaña Categorías hay dos grupos para agentes: Linux (Fleet Agent) y Windows (Fleet Agent). Cada uno contiene cientos de reglas de Elastic preparadas, por ejemplo para inicios de sesión SSH desde una dirección o con una clave inusual, la creación de un usuario o grupo nuevo, cambios que dan a un atacante acceso persistente o ejecuciones de procesos sospechosas. El botón Activar con datos activa las categorías para las que tiene datos.

Algunas reglas de Windows necesitan fuentes adicionales, como Sysmon o los registros de PowerShell. Esas fuentes las recogen las políticas para estaciones y servidores Windows. Su propia regla la escribe en la pestaña Lista de reglas, con la misma consulta que en el Log Explorer.

Las alertas de las reglas aparecen en el Centro de eventos. Desde allí las confirma, las cierra o las marca como falso positivo, y las notificaciones se las hacen llegar por correo electrónico o a un chat.

Desinstalación

Para desinstalar el agente, ejecute sudo elastic-agent uninstall en Linux o, en Windows, & 'C:\Program Files\Elastic\Agent\elastic-agent.exe' uninstall -f en PowerShell como administrador. Al desinstalarse, el agente se da de baja por sí mismo y libera su plaza en la licencia.

Cómo encajan los datos de agentes, syslog y NetFlow se describe en el artículo Cómo funciona FlowPro NG. Para dispositivos de red está la guía Recogida de syslog y para flujos de red, Recogida de NetFlow. Encontrará más sobre la evaluación de logs en la página SIEM y gestión de logs. También puede probar los agentes en la versión gratuita. Los pasos están en la página Prueba gratuita.