› › ›

配置网络地图数据

编辑

配置网络地图数据

编辑

根据您的 Kibana 设置，要在网络页面的地图上显示数据并与之交互，您可能需要

要在地图上查看源和目标连接线，您必须为您的索引配置 source.geo 和 destination.geo ECS 字段。

所需权限

编辑

要查看地图，您需要一个角色，该角色至少具有 Read 权限，用于 Maps 功能。

创建 Kibana 数据视图

编辑

要显示地图数据，您必须定义一个 Kibana 数据视图，其中包含在 securitysolution:defaultIndex 字段中指定的一个或多个索引。要查看这些索引，请在导航菜单中找到堆栈管理，或者使用全局搜索字段，然后转到 高级设置 → securitysolution:defaultIndex。

例如，要在地图上显示存储在与索引模式 servers-europe-* 匹配的索引中的数据，您必须使用索引模式与 servers-europe-* 匹配的 Kibana 数据视图，例如 servers-*。

添加 geoIP 数据

编辑

当 ECS 的 source.geo.location 和 destination.geo.location 字段被映射时，网络数据将显示在地图上。

如果您使用 Beats，请配置一个 geoIP 处理器以将数据添加到相关字段

定义一个使用一个或多个 geoIP 处理器向事件添加位置信息的摄取节点管道。例如，使用 Kibana 中的控制台创建以下管道

PUT _ingest/pipeline/geoip-info
{
  "description": "Add geoip info",
  "processors": [
    {
      "geoip": {
        "field": "client.ip",
        "target_field": "client.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "source.ip",
        "target_field": "source.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "destination.ip",
        "target_field": "destination.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "server.ip",
        "target_field": "server.geo",
        "ignore_missing": true
      }
    },
    {
      "geoip": {
        "field": "host.ip",
        "target_field": "host.geo",
        "ignore_missing": true
      }
    }
  ]
}

在此示例中，管道 ID 为 geoip-info。 field 指定包含用于地理查找的 IP 地址的字段，target_field 是将保存地理信息的字段。"ignore_missing": true 配置管道在遇到没有指定字段的事件时继续处理。

可以在此处找到一个使用 GeoLite2-ASN.mmdb 数据库添加自治系统号 (ASN) 字段的摄取管道示例。

在您的 Beats 配置文件中，将管道添加到 output.elasticsearch 标签
```
  output.elasticsearch:
    hosts: ["localhost:9200"]
    pipeline: geoip-info 
```
此字段的值必须与步骤 1（本示例中为 geoip-info）中的摄取管道名称相同。

映射您的内部网络

编辑

如果您想将您网络的内部 IP 地址添加到地图，请在您主机上 Beats 配置文件的 processors 标签下定义地理位置字段

  processors:
   - add_host_metadata:
   - add_cloud_metadata: ~
   - add_fields:
       when.network.source.ip: <private/IP address> 
       fields:
         source.geo.location:
           lat: <latitude coordinate>
           lon: <longitude coordinate>
       target: ''
   - add_fields:
       when.network.destination.ip: <private/IP address>
       fields:
         destination.geo.location:
           lat: <latitude coordinate>
           lon: <longitude coordinate>
       target: ''

对于 IP 地址，您可以使用 private 或 CIDR 表示法。

您还可以使用其他主机字段来丰富您的数据。

« 网络页面用户页面 »