[ELK] 🥁CentOS에서 packetbeat -> logstash 연결하기 (패킷비트&로그스태시)

 

 

 

 

 

 

 

 

 🍰 packetbeat를 설치하게 되면 ??                  

 

 

* 기능 : 서비스와 애플리케이션 모니터링/ 프로토콜을 선택하거나 원하는 프로토콜을 직접 구축가능 / 네트워크 트래픽 검색 및 분석/ Elasticsearch나 Logstash로 데이터를 수집하고 Kibana에서 시각화/ 모든 데이터 요소 모니터링 

 

😊 자세한 내용은 아래 사이트 눌러서 확인하기 ~

https://www.elastic.co/kr/beats/packetbeat

Packetbeat: Elasticsearch를 사용한 네트워크 분석 | Elastic

 

 

 

 

 🍰 설치 순서를 요약하자면 ??                          

: packet를 설치 후, logstash의 pipeline 따로 생성하여 받기 

 

1.   패킷비트(Packetbeat) 설치하기

2.    Packetbeat 설정하기

3.    kibana 대시보드  설정

4.   Packetbeat assets 셋팅

5.   Packetbeat 시작하기

6.   logstash에서 pipeline만들기

7.    logstash와 packetbeat 다시 시작하기

8.  Elasticsearch Index 확인

 

 

---

 

 

 🍰 본격적으로 시작하기                                      

👒 나의 경우는 CentOS7에서 
root가 아니라 사용자계정으로 로그인을 했어서  su root  를 써서 root로 바꿔주는 것부터 시작함!
제대로 바뀌었다면 명령창에서  $ 표시가  #  으로 바뀐다.

 

 

0. 시작하기 전에! libpcap 패킷 캡처 라이브러리 설치하기

* 대부분의 플랫폼에서 Packetbeat에는 libpcap 패킷 캡처 라이브러리가 필요합니다.

yum install libpcap

 

1.   패킷비트(Packet beat) 설치하기

1)  curl 명령어로 Packetbeat 7.17.0버젼 rpm압축파일 다운받기

curl -L -O https://artifacts.elastic.co/downloads/beats/packetbeat/packetbeat-7.17.0-x86_64.rpm

 

2) 다운받은 rpm압축파일  압축풀기

rpm -vi packetbeat-7.17.0-x86_64.rpm

 

 

2.   Packetbeat 설정 하기

1) packetbeat.yml의 설정파일 수정하기

; /etc/packetbeat/ 경로로 들어가면 packetbeat.yml 이름의 설정파일이 있다.

vim /etc/packetbeat/packetbeat.yml

 

2) metricbeat.yml에서 수정할 건 3가지!

(1) 165번줄의 kibana 설정 host 주석풀기

 

 (2)  elasticsearch output은 주석처리하고, logstash output 주석풀기 및 포트번호 바꾸기

 ; 포트번호를 바꾸는 이유는 filebeat의 port번호를 5044 / metricbeat 5045로 설정했어서, packetbeat 포트를 5046로 바꿔준다.

 

3.    kibana 대시보드  설정

packetbeat setup --dashboards

 

4.  packetbeat  assets 셋팅

; Packetbeat는 데이터 구문 분석, 인덱싱 및 시각화를 위해 사전 정의된 asset과 함께 제공됩니다.

이러한 asset을 로드하려면 아래 코드작성하기

packetbeat setup -e

 

5.   packetbeat 시작하기

service packetbeat start

 

6.  logstash에서 pipeline만들기

1) /etc/logstash 경로에서 들어가서 mkdir로 packet이란 폴더를 만들어준다.

# logstash 설정파일 경로 열기
cd /etc/logstash

# metric 폴더 만들기
mkdir packet

2) conf파일 복사생성하고 파일열기

# sample 형식 복사하기
cp logstash-sample.conf packet/packet.conf

# packet.conf 파일 확인하기
vim packet/packet.conf

 

3) packet.conf 파일 내용 수정하기

; i 를 눌러 insert 모드로 바꾸고 port 번호 5046로 수정하기

 

4) pipeline 설정하기

# pipeline.yml 설정파일 열기
vim pipelines.yml 

# pipeline 추가하기
- pipeline.id: packet
  path.config: "/etc/logstash/packet/packet.conf"

 

7.  logstash와 packetbeat 다시 시작하기

; 설정파일에서 수정해줬으니 다시 재시작해준다.

# 로그스태시 다시시작하기
systemctl restart logstash
# 패킷비트 다시시작하기
systemctl restart packetbeat

 

8. Elasticsearch Index 확인

curl localhost:9200/_cat/indices?v

 

 

다들 그럼 안-녕 !🖐️