Обеспечение безопасности Elastic Stack

Elastic Stack состоит из многих взаимосвязанных компонентов. Есть узлы Elasticsearch, образующие кластер, а также экземпляры Logstash, Kibana, агенты Beats и клиенты, все взаимодействующие с кластером. Для защиты вашего кластера следуйте принципам безопасности Elasticsearch.

Первый принцип – запуск Elasticsearch с включённой безопасностью. Настройка безопасности может быть сложной, поэтому мы упростили автоматический запуск Elastic Stack с включённой и настроенной безопасностью. Для новых кластеров достаточно запустить Elasticsearch, чтобы автоматически включить защиту паролем, защищённое межузловое взаимодействие с помощью Transport Layer Security (TLS) и шифрование соединений между Elasticsearch и Kibana.

Если у вас уже есть существующий, незащищённый кластер (или вы предпочитаете самостоятельно управлять безопасностью), вы можете вручную включить и настроить безопасность для защиты кластеров Elasticsearch и всех клиентов, взаимодействующих с вашими кластерами. Вы также можете реализовать дополнительные меры безопасности, такие как управление доступом на основе ролей, фильтрация IP-адресов и аудит.

Включение безопасности защищает кластеры Elasticsearch, предотвращая несанкционированный доступ с помощью защиты паролем, управления доступом на основе ролей и фильтрации IP-адресов.

Она сохраняет целостность ваших данных с помощью шифрования SSL/TLS. Ведение аудиторского журнала позволяет отслеживать действия пользователей в вашем кластере и хранящихся в нём данных.

Для предотвращения несанкционированного доступа к вашему кластеру Elasticsearch необходимо иметь механизм аутентификации пользователей для проверки того, что пользователь является тем, за кого себя выдаёт. Например, убедиться, что только человек по имени Kelsey Andorra может войти как пользователь kandorra. Функции безопасности Elasticsearch предоставляют автономный механизм аутентификации, который позволяет быстро защитить ваш кластер паролем.

Если вы уже используете LDAP, Active Directory или PKI для управления пользователями в вашей организации, функции безопасности интегрированы с этими системами для выполнения аутентификации пользователей.

В многих случаях аутентификация пользователей недостаточно. Вам также нужен способ контролировать доступ пользователей к данным и выполнять задачи. Включив функции безопасности Elasticsearch, вы можете авторизовать пользователей, назначив права доступа ролям и назначив эти роли пользователям. Используя механизм управления доступом на основе ролей (RBAC), вы можете ограничить пользователя kandorra выполнением только операций чтения для индекса events и ограничить доступ ко всем другим индексам.

Функции безопасности также позволяют ограничивать узлы и клиентов, которые могут подключаться к кластеру, на основе фильтров IP-адресов. Вы можете блокировать и разрешать определённые IP-адреса, подсети или домены DNS для управления доступом на сетевом уровне к кластеру.

См. аутентификацию пользователей и авторизацию пользователей.

Важной частью безопасности является защита конфиденциальных данных. Elasticsearch имеет встроенную защиту от случайной потери и повреждения данных. Однако ничего не мешает преднамеренному вмешательству или перехвату данных. Функции безопасности Elastic Stack используют TLS для сохранения целостности ваших данных от вмешательства, а также обеспечивают конфиденциальность, шифруя коммуникации в, из и внутри кластера. Для большей защиты можно увеличить уровень шифрования.

См. настройку безопасности для Elastic Stack.

Обеспечение безопасности системы требует бдительности. Используя функции безопасности Elastic Stack для ведения аудиторского журнала, вы можете легко отследить, кто имеет доступ к вашему кластеру и что они делают. Вы можете настроить уровень аудита, который учитывает тип событий, которые регистрируются. Эти события включают неудачные попытки аутентификации, запрет доступа к пользователю, запрет подключения к узлу и многое другое. Анализируя шаблоны доступа и неудачные попытки доступа к вашему кластеру, вы можете получить информацию об атаках и нарушениях безопасности данных. Ведение аудиторского журнала активности в вашем кластере также может помочь в диагностике операционных проблем.

См. включение аудиторного логирования.