12-28-2021, 09:35 AM (This post was last modified: 12-28-2021, 02:39 PM by PawelS.)
Lista źródeł w ElasticSearch
W celu ustalenia listy źródeł w ElasticSearch w zakładce Discovery należy wyświetlić wyświetlić wybrany indeks pattern. Następnie dla wybranego indeks pattern należy poszukać pól o jednej następujących nazw: agent.name, host.name, hostname, ip. Następnie należy kliknąć na to pole w celu rozwinięcia listy 5 najczęściej występujących wartości:
W następnym kroku należy kliknąć zakładkę Visualize, a następnie kliknąć przycisk „Create visualisation” aby przygotować wizualizację. Jako typ wizualizacji należy wybrać „Data Table”. Po wybraniu typu wizualizacji należy wskazać indeks pattern jako źródło danych dla wizualizacji. Jako zakres danych należy wybrać ostatnie 24 godziny. Jako Metrics należy wybrać „Unique Count”, a jako Field należy wskazać pole o nazwie „hostname”.
Następnie należy dodać Buckets typu „Split Rows”. Jako agregację należy wybrać „Terms”, a jako Field należy wskazać ponownie pole „hostname”.
Po wprowadzeniu powyższych ustawień należy zatwierdzić zmiany poprzez kliknięcie na poniższym przycisku (trójkąt na niebieskim tle):
W ten sposób zostanie utworzony wykres z listą źródeł z których zapisywane są dane w ElasticSearch.
W przypadku korzystania z SIEM należy kliknąć zakładkę „Agents” aby wyświetlić listę wszystkich agentów, zarówno podłączonych jak i niepodłączonych:
