Analítica de Auditoría con Elasticsearch y Kibana
La analítica es importante para cada negocio. A veces, las herramientas de propósito general para la analítica no son suficientes. Con la creciente cantidad de información, es muy difícil buscar y analizar la información que las empresas almacenan.
Imaginemos que necesitas proporcionar analíticas sobre ciertos eventos en la base de datos en el menor tiempo posible y ya tienes la herramienta que permite buscar eventos de auditoría en la base de datos, como MySQL o PostgreSQL. Pero el problema es que estás limitado en tiempo y necesitas revisar mucha información para eventos específicos. Además, podrías querer visualizar adecuadamente el contenido para una mejor comprensión y análisis. Y aquí necesitas una herramienta adicional. En tales casos, necesitas desperdiciar mucho tiempo, energía y recursos para la búsqueda y la visualización. Pero, ¿qué pasaría si tuvieras herramientas que hagan este proceso más fácil?
Aquí hablaremos sobre cómo analizar y visualizar eventos desde DataSunrise con Elasticsearch y Kibana.
¿Qué son Elasticsearch y Kibana?
El propósito principal de Elasticsearch es la búsqueda y el análisis de logs. Es uno de los sistemas de bases de datos más populares hoy en día. Elasticsearch es un enorme almacenamiento donde puedes guardar tus datos y buscar lo que quieras y como quieras. Tiene una enorme cantidad de algoritmos de búsqueda: estructurados, no estructurados, geo, métricos, etc. Con un motor potente y una interfaz, Elasticsearch te permite buscar a través de una gran cantidad de datos en un corto período de tiempo. Dado que el uso principal de Elasticsearch es la búsqueda a través de una gran cantidad de información gracias a los clústeres, necesita herramientas e instrumentos adicionales para el análisis de datos. Para este propósito, puedes usar Kibana.
Lo primero que necesitas saber sobre Kibana es que solo funciona con el motor de búsqueda de Elasticsearch. Kibana es una herramienta de visualización y exploración que puedes usar para la auditoría de logs, el análisis y la monitorización. Con esta poderosa herramienta, puedes visualizar y analizar la gran cantidad de datos que tienes.
Kibana es útil cuando necesitas compartir información sobre logs de auditoría con auditores, socios, clientes, y simplemente para análisis. En este caso, la información sobre eventos en la base de datos se vuelve más legible y comprensible. Además, cuando creas tableros en Kibana, puedes compartirlos fácilmente con quien quieras en diferentes formatos o simplemente descargar informes. Pero ten cuidado, recuerda que la información puede ser sensible y no destinada a terceros.
Por sí solo, Elasticsearch no tiene ninguna característica de seguridad incorporada. No fue hecho con el propósito de protección de datos. La integración con soluciones de seguridad como DataSunrise proporciona la oportunidad de cumplir con estándares de seguridad nacionales e internacionales, tales como SOX, HIPAA, PCI DSS, y otros.
Gracias a Kibana puedes empaquetar toda tu información de logs de auditoría en un solo lugar y crear tableros para propósitos de monitorización y seguridad.
Integración con DataSunrise
DataSunrise tiene la capacidad de auditar bases de datos. Gracias a esto, puedes crear fácilmente reglas de auditoría y obtener información sobre lo que está sucediendo en tus bases de datos. Esta característica recopila y examina información sobre las consultas hechas a una base de datos. Con esta información podrás detectar amenazas posibles y operaciones potencialmente peligrosas con antelación. También puedes investigar brechas de datos y prevenirlas en el futuro gracias al análisis de eventos.
En la mayoría de los casos, necesitas contenido visual para el análisis de los resultados de la auditoría. DataSunrise ahora tiene la integración con Elasticsearch y Kibana, por lo que la analítica se vuelve más fácil y mucho más comprensible. Dado que Kibana y Elasticsearch tienen grandes mecanismos para la búsqueda y la visualización, te da la posibilidad de un análisis profundo de los datos que tienes. Como DataSunrise captura todo lo que quieres, podrás ver cuándo, dónde, quién y qué se hizo en la base de datos.
Ahora veamos cómo funciona paso a paso.
Imagen 1: Conexión a Elasticsearch y Kibana
Para ver la analítica, haz los siguientes pasos:
- Para transferir datos de auditoría a Elasticsearch necesitas configurar el acceso a Elasticsearch. Elige un método de autenticación, nombre de host e índice.
- Configura la integración con Kibana. Indica el método de autenticación y nombre de host.
- Crea y ejecuta una tarea periódica de “Transferir auditoría a Elasticsearch”. La necesitas para transferir todos los datos de auditoría que tengas y tendrás.
Habiendo hecho todo esto, verás la analítica. Por defecto, solo hay información para la fecha actual, pero puedes elegir un período de tiempo. El gráfico representa eventos en el tiempo. Así verás la hora y la cantidad de consultas que se ejecutaron en este período de tiempo.
En la tabla a continuación hay 4 columnas:
- Hora de inicio
- Nombre de instancia
- Tipo de instancia
- Consulta
Puedes expandir cada fila y ver información más detallada como una tabla o guardarla como JSON.
Imagen 2: Interfaz de Kibana en DataSunrise
En el área de búsqueda, puedes buscar a través de los tipos de eventos. Da resultados solo para una consulta actual, por lo que es más rápido y más informativo.
En la barra lateral izquierda, puedes ver filtros, seleccionados y disponibles. Puedes ver los 5 valores principales para cada filtro y su porcentaje.
Cuando eliges un filtro, obtendrás información ilustrada por diferentes tipos de gráficos. En la barra lateral derecha, puedes crear un gráfico de paridad, donde puedes comparar gráficamente dos filtros diferentes. Con esta información, tu analítica se vuelve más vívida y comprensible.
Imagen 3: Analítica de Auditoría
Como ves, el proceso de configuración es bastante simple. DataSunrise junto con Elasticsearch y Kibana proporciona una unidad poderosa para el análisis e investigación de eventos.
Un diagrama configurado automáticamente muestra todos los eventos en una base de datos por tiempo y número. La visualización es una parte importante de cada análisis, ya que gracias a ella la información se percibe mejor. Además, la búsqueda funciona más rápido y es más fácil, por lo que no necesitas esperar o construir tus propios filtros. Prueba nuestra nueva capacidad de análisis de auditoría con Elasticsearch y Kibana.
