フィールド設定画面この画面になれば準備完了だ。今度はサイドメニューの一番上にあるDiscover(コンパスアイコン)を選択する。Discover画面これで準備完了だ。Kibanaの使い方Discover画面では、時系列にイベントの数をカウントしたグラフとその内容の一覧を表示する。minutes」などと表示されているところで調整できるし、グラフをクリックすることで拡大することもできる。下記の画面は、8台のサーバからsyslogを集めたデータの例だ。12時間分のsyslogざっと見ると、10分あたり平均して50イベント前後記録されているのが分かる。ピーク時には200に到達している時間帯もある。このように多数のデータを、ただ時系列に眺めていては埒が明かない。そこで種別ごとに分類したり、特に多いメッセージを抽出したりして、調べていく手順を示そう。syslogの場合、頼りになるのはidentというフィールドだ。これは単刀直入に言えばメッセージを出力したデーモンの名前に相当する。左側のサブメニューをクリックするとidentの部分が詳細化され、トップ5リストがヒストグラム化される。フィールドを詳細化するここでルーペアイコンをクリックすることで、特定フィールドを抽出したり、除外することができる。sshdの+アイコンをクリックしてみよう。するとsshdの出力だけが抽出され、こんなグラフになる。sshdの抽出これは実は、12時間に渡って記録された22番ポートへスキャンしにきた不埒者のログだ。8台分のサーバの合計なのと、セッションのすべての記録なので単純に人数を示しているわけではないことに留意してもらいたいが、結構な頻度であることが分かる。ブラックリスト送りにしているので実害はないが、対策が必要なのはわかっていただけると思う。KibanaをHTTPS化する【2019年12月2日修正】/etc/letsencrypt/liveをソースにするように改定した。Kibanaにアクセスすると、HTTPなので「保護されていない通信」と出る。Encryptを利用してHTTPS化したい。サーバにホスト名を割り当てられる方なら、次のような手順で実施できる。サーバにcertbotをインストールする。certbotfirewall-cmdでHTTPをあけておく。Encryptから証明書をもらう。certonlycertbotの使い方は説明しないが、メールアドレスや登録したいFQDNを聞かれるのできちんと答える。最後までうまくいけば、正しく証明書ファイルが作成される。/etc/letsencrypt/live/登録したFQDN、というディレクトリにファイルが格納されているはずだ。次がトリックなのだが、Kibanaはこのディレクトリを直接読めない。root権限で保護されてしまっているからだ。仕方がないのでこれをコピーする。適切な場所を選んで、次のようなバッチを設置する。$KIBANA_DIRこのバッチを実行して、ファイルが適切な場所に適切なパーミッションでコピーされていることを確認する。