「原创首发」安全日志管理中心实战(2)——ELK7.6.2配置

本文接上篇文章继续，本篇主要写ELK的安装，机器配置参考上篇文章。操作系统为ubuntu 18.04。

一、系统初始化

拿到系统一件事情就是更新系统

sudo apt update，更新源也没设置，默认就好

df -h 一看傻眼了，我的硬盘去哪儿了？

好吧，原来给我的时候没有挂盘，fdisk -l 发现有个/dev/sdb的空间正好是丢失的盘

接着分区

fdisk /dev/sdb 回车

然后n

其他回车

最后输入p打印硬盘信息

最后w保存退出

df -h查看还是没有，哈哈哈，执行如下操作：

开启启动挂在sdb盘

sudo vi /etc/fstab

最后一行加入

/dev/sdb /data ext4 defaults 0 0

最后我们来看下时间，好家伙，时间也不对，对于异常处理来说，时间很重要。

输入tzselect进行时区选择，然后选择4---9---1---1，具体不细说了。

sudo cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

sudo hwclock --systohc

二、安装jdk

sudo apt install -y openjdk-8-jdk

三、ES安装

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

sudo apt-get install apt-transport-https

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

sudo apt-get update && sudo apt-get install elasticsearch

sudo update-rc.d elasticsearch defaults 95 10

sudo /bin/systemctl daemon-reload

sudo /bin/systemctl enable elasticsearch.service

四、优化系统

系统内核方便的优化不在此次范围内，只做一些初步的优化。

echo "JAVA_HOME=/data/jdk1.8.0_181" >> /etc/profile

echo "CLASSPATH=\$JAVA_HOME/lib/" >> /etc/profile

echo "PATH=$PATH:\$JAVA_HOME/bin" >> /etc/profile

echo "export PATH JAVA_HOME CLASSPATH" >> /etc/profile

source /etc/profile

echo "elastic soft memlock unlimited" >> /etc/security/limits.conf

echo "elastic hard memlock unlimited" >> /etc/security/limits.conf

echo "elastic soft nofile 65536" >> /etc/security/limits.conf

echo "elastic hard nofile 65536" >> /etc/security/limits.conf

echo "elastic soft nproc 4096" >> /etc/security/limits.conf

echo "elastic hard nproc 4096" >> /etc/security/limits.conf

echo "vm.max_map_count=1048576" >> /etc/sysctl.conf

sysctl –p

# JVM最大内存不超过32G，jvm.options文件，物理内存64G

-Xms30g

-Xmx30g

五、建立数据目录

mkdir -p /data/esdata

mkdir -p /data/eslogs

六、ES配置文件

vi /etc/eslasticsearch/eslasticsearch.yml

cluster.name = gg-soc

node.name = 一般为主机名

node.master = true/false (看过第一篇的指导，我的架构是3台ES，一台管理，两台数据，管理节点选择true，数据节点选择false)

node.data = true/false（管理节点选择false，数据节点选择true）

path.data: /data/esdata #数据存储

path.logs: /data/eslogs #日志存储

bootstrap.memory_lock: true #锁定内存

network.host: 10.10.10.74 本机网卡地址，ip地址修改参考篇章1

http.port: 9200

transport.tcp.port: 9300

http.cors.enabled: true

http.cors.allow-origin: "*"

http.max_content_length: 500mb

node.max_local_storage_nodes: * #本机节点数，默认不设置

discovery.zen.ping.unicast.hosts: ["10.10.10.72","10.10.10.73","10.10.10.74"] #单播地址，可以设为所有节点

discovery.zen.minimum_master_nodes: 2 #master数量除以2加1

cluster.initial_master_nodes: ["10.10.10.74"]

另外三台配置一致，只是在管理和数据节点的地方不一样，配置完成后启动es

sudo systemctl start elasticsearch.service

sudo systemctl stop elasticsearch.service

若有异常，通过journalctl -xe进行详细错误查看

七、logstash安装

apt update

sudo apt install -y openjdk-8-jdk

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

sudo apt-get install apt-transport-https

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

sudo apt-get update && sudo apt-get install logstash

八、KIBANA安装

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -

sudo apt-get install apt-transport-https

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

sudo apt-get update && sudo apt-get install kibana

sudo update-rc.d kibana defaults 95 10

sudo /bin/systemctl daemon-reload

sudo /bin/systemctl enable kibana.service

九、配置kibana

sudo vi /etc/kibana/kibana.yml

Server.port: 5601

Server.host: ”10.10.10.74” #本机ip--看过篇章1的朋友知道我的es管理节点和kibana在一起

Elasticsearch.hosts: ["10.10.10.74:9200"] #[“manage-ip:port”]--es管理节点ip+端口

配置完成后启动kibana服务

sudo systemctl start kibana.service

sudo systemctl stop kibana.service

十、下期预告