보안 모니터링 - ELK #1

ELK 스택이란?

Elasticsearch, Kibana, Logstash 3가지의 앞글자를 합쳐서 부르는 말

• 모든 형식과 모든 소스에서 안정적으로 수집이 가능합니다.
• 데이터를 가져온 다음 실시간으로 검색,분석,시각화가 가능합니다.

ELK의 유일한 단점으로 꼽자면 사용자를 테스터로 버전 업데이트를 하고 있다. -> 사용자들의 시행착오가 많이 발생

Splunk vs Elastic Stack 어떤걸 선택해야할까?

• Splunk는 무엇인가? 머신 데이터를 제약 없이 수집,저장,분석,시각화 할 수 있는 실시간 분산 플랫폼이다.

비용이 많이 부담스러운 스플렁크에 비해 무료인 elastic stack을 많이 선택하는 추세이다.
비용 비교 : Splunk : 약 1억 vs Elastic Stack : 무료

Elasticsearch CRUD

• CRUD란?
  Create(생성), Read(읽기), Update(갱신), Delete(삭제)를 묶어서 표현한 단어입니다.

Elasticsearch에서 자주 등장하는 용어

• Near RealTime(NRT)
  거의 실시간으로 검색을 해준다는 뜻

• Cluster
  노드(서버)가 하나이상 모이는 집합소 같은 곳

• Node
  데이터를 저장하고 클러스터의 인덱싱 및 검색기능에 참여하는 단일 서버

• Index
  RDB에서 DB와 같은 역할을 한다.

• Type
  RDB에서 Table같은 역할을 하며 논리적 범주나 파티션으로 사용될때 사용된다.

• Documents
  RDB에서 Record 같은 역할을 담당하고 있으며 색인을 생성할 수 있는 기본 정보 단위이다. JSON으로 표현된다.