ELK日志分析--Kibana

1. Kibana 概述

2. 部署安装
3. 浏览页面并使用

1.Kibana 概述

Kibana-是进入Elastic的窗口使用Kibana，可以

1 搜索，观察和保护。 从发现文档到分析日志再到发现安全漏洞，Kibana是您访问这些功能及其他功能的门户。

2 可视化和分析您的数据。 搜索隐藏的见解，可视化您在图表，仪表，地图等中找到的内容，并将其组合在仪表板中。

2.部署安装  (源码部署)

        2.1  部署

# curl -L -O https://artifacts.elastic.co/downloads/kibana/kibana-7.13.2-linux-x86_64.tar.gz
# tar xzvf kibana-7.13.2-linux-x86_64.tar.gz -C /usr/local/
# mv /usr/local/kibana-7.13.2-linux-x86_64  /usr/local/kibana

        2.2  配置主配置文件

# /usr/local/kibana/config/kibana.yml

server.port: 5601 #改
server.host: "0.0.0.0"  #改

# 用于连接到 ES 集群的地址和端口
elasticsearch.hosts: ["http://es01:9200"] #改

# 日志文件路径
# logging.dest: stdout 
logging.dest: /var/log/kibana/kibana.log #改

# 设置页面的字体为中文
i18n.locale: "zh-CN"  #改

        2.3  运行kibana

创建用于运行 kibana 的普通用户

默认情况下，kibana 不允许使用 root 用户运行，所以这里创建一个普通用户

# useradd  ela

创建程序使用到的目录并赋予权限：

# mkdir /run/kibana  /var/log/kibana/

# chown  ela.ela   /run/kibana  /var/log/kibana/ /usr/local/kibana -R

使用普通用户运行 ：

运行于前台

# su - ela
# /usr/local/kibana/bin/kibana

运行于后台

# nohup  /usr/local/kibana/bin/kibana &

使用 root 用户运行 ：

如果使用 root 用户运行需要使用如下命令

# nohup /usr/local/kibana/bin/kibana  --allow-root &

        2.4  日志报错

{"type":"log","@timestamp":"2021-03-03T10:34:45Z","tags":["error","elasticsearch","data"],"pid":4151,"message":"[ConnectionError]: connect ECONNREFUSED 127.0.0.1:9200"}

说明 kibana 无法连接到 ES 集群，需要检查如下配置是否正确

配置文件 /usr/local/kibana/config/kibana.yml ：

elasticsearch.hosts: ["http://localhost:9200"]

关闭服务 ：

kill进程

3. 浏览页面并使用

        3.1访问

使用浏览器访问：

http://192.168.26.169:5601

        3.2  创建索引模式

Kibana需要使用索引模式来访问要浏览的Elasticsearch数据。索引模式选择要使用的数据，并允许您定义字段的属性。

索引模式可以指向特定索引，例如，昨天的日志数据或包含您的数据的所有索引。它还可以指向 数据流或索引别名。

1.点击左上方的三条横杠  ->  "management"  ->  "stack management"

 2.点击左边的“索引模式”  ->  "创建索引模式"

 3.在“索引模式名称”中填入索引名;之后点击下一步；

 4. 在时间字段中选择"@timestamp";再点击创建索引模式

 

        3.3  查询数据

1.点击左上方的三条横杠  ->  "discover"