O que kibana-audit faz?
Habilita e configura o log de auditoria do Kibana para acesso a objetos salvos, logins e operações de espaço. Use ao configurar a auditoria do Kibana, filtrar eventos ou correlacionar logs de auditoria do Kibana e Elasticsearch.
Visão Geral
O log de auditoria do Kibana registra eventos relacionados a:
- Acesso a objetos salvos (dashboards, visualizações, etc.)
- Logins e logout de usuários
- Operações em espaços (criação, exclusão, atribuição)
- Atividades administrativas
Configuração
Via kibana.yml
xpack.security.audit.enabled: true
xpack.security.audit.appender.type: rolling-file
xpack.security.audit.appender.fileName: /var/log/kibana/audit.log
xpack.security.audit.appender.policy.type: size-limit
xpack.security.audit.appender.policy.size: 100 MB
xpack.security.audit.appender.strategy.type: numerated
xpack.security.audit.ignore_filters:
- actions: [ "saved_object_get", "saved_object_find" ]
spaces: [ "default" ]
Via API
PUT _cluster/settings
{
"persistent": {
"xpack.security.audit.enabled": true
}
}
Filtragem de Eventos
Use ignore_filters para suprimir eventos irrelevantes. Exemplo:
xpack.security.audit.ignore_filters:
- actions:
- "saved_object_get"
usernames:
- "kibana-system"
Correlação com Elasticsearch Audit Logs
Para unificar auditoria, configure também o log de auditoria do Elasticsearch:
xpack.security.audit.enabled: true
xpack.security.audit.logfile.events.include:
- access_denied
- authentication_failure
Então, correlacione por timestamp e user.name ou client.id.
Comandos Úteis
Verificar se a auditoria está ativa:
curl -X GET "localhost:5601/api/status" | jq '.status.overall'
Visualizar logs de auditoria:
tail -f /var/log/kibana/audit.log | jq 'select(.event.action == "saved_object_get")'