elasticsearch-audit은(는) 무엇을 하나요?
Elasticsearch 보안 감사 로그를 활성화, 구성 및 조회합니다. 감사 로깅 설정, 이벤트 필터링, 또는 실패한 로그인과 같은 보안 사고 조사와 관련된 작업에 사용하세요.
개요
elastic/elasticsearch-audit 스킬은 Elasticsearch 클러스터에서 보안 감사 로깅을 설정하고 활용하는 방법을 제공합니다. 이를 통해 다음을 수행할 수 있습니다:
- 감사 로그 활성화 (
elasticsearch.yml설정) - 이벤트 유형별 필터링 (예:
access_denied,authentication_failure) - 보안 사고 조사 (예: 실패한 로그인, 권한 위반)
- 감사 이벤트 쿼리 및 분석
설정 방법
Elasticsearch 보안 감사 로깅을 활성화하려면 elasticsearch.yml에 다음 설정을 추가하세요:
xpack.security.audit.enabled: true
xpack.security.audit.logfile.events.include:
- access_denied
- authentication_failure
- connection_denied
사용 예시
감사 로그 조회
감사 로그는 기본적으로 Elasticsearch 로그 디렉터리의 <clustername>_audit.log 파일에 저장됩니다. 다음 명령어로 조회할 수 있습니다:
tail -f /var/log/elasticsearch/<clustername>_audit.log
보안 사고 조사
실패한 로그인 시도를 조사하려면 다음 명령어를 사용하세요:
grep "authentication_failure" /var/log/elasticsearch/*_audit.log
지원 플랫폼
- Claude Code
- Cursor
- Codex
- 기타 AI 에이전트
참고 사항
- 감사 로그는 보안 설정이 활성화된 Elasticsearch 클러스터에서만 작동합니다.
- 이벤트 필터링을 통해 필요한 정보만 수집하여 성능 영향을 최소화하세요.
- 감사 로그 파일은 정기적으로 로테이트 및 보관해야 합니다.