elastic/kibana-audit

¿Qué hace kibana-audit?

Habilita y configura el registro de auditoría de Kibana para el acceso a objetos guardados, inicios de sesión y operaciones de espacios. Útil al configurar la auditoría de Kibana, filtrar eventos o correlacionar los registros de auditoría de Kibana y ES.

Configuración

Para habilitar la auditoría en Kibana, agrega la siguiente configuración en tu archivo kibana.yml:

xpack.security.audit.enabled: true
xpack.security.audit.appender.type: rolling-file
xpack.security.audit.appender.fileName: /var/log/kibana/audit.log
xpack.security.audit.appender.layout.type: json

También puedes configurar la auditoría mediante la API de Kibana:

PUT kibana/api/security/audit/settings
{
  "enabled": true,
  "appender": {
    "type": "rolling-file",
    "fileName": "/var/log/kibana/audit.log",
    "layout": {
      "type": "json"
    }
  }
}

Filtrado de eventos

Puedes filtrar los eventos de auditoría por usuario, acción o espacio. Por ejemplo, para registrar solo eventos de inicio de sesión:

xpack.security.audit.ignore_filters:
  - actions:
      - "saved_object_*"
      - "space_*"

O para excluir eventos de usuarios específicos:

xpack.security.audit.ignore_filters:
  - users:
      - "kibana_system"
      - "kibana"

Correlación con logs de Elasticsearch

Para correlacionar los registros de auditoría de Kibana con los de Elasticsearch, asegúrate de que ambos sistemas envíen sus logs a Elasticsearch con campos comunes. Por ejemplo:

• user.name
• event.action
• kibana.space_id

Puedes usar Kibana Discover para analizar ambos conjuntos de datos simultáneamente.

Referencia

• Documentación de auditoría de Kibana
• Configuración de auditoría de Elasticsearch