Laboratório: Pipeline Completo de Logs com Elastic Stack (ELK) em Ambiente Local

Roteiro para estudo em ambiente de laboratório ou de teste. Execute apenas em equipamentos, redes e contas que você tenha autorização para usar, com backup e homologação próprios. Comandos podem causar indisponibilidade ou perda de dados. Software e marcas citados pertencem aos seus titulares. Termos de Uso.

Duração estimada

90 min

Passos

12

Validações

5

Versões da documentação consultada

ElasticSearch a versão estável atual · Logstash a versão estável atual · Kibana a versão estável atual · Filebeat a versão estável atual

Topologia

Três máquinas virtuais: uma para ElasticSearch, uma para Logstash e Kibana, e uma para Filebeat (coletor de logs). Filebeat envia logs para Logstash, que processa e repassa para ElasticSearch. Kibana acessa ElasticSearch para visualização. Endereços de exemplo: 192.168.56.10 (ElasticSearch), 192.168.56.11 (Logstash/Kibana), 192.168.56.12 (Filebeat).

      [Filebeat VM]
        (192.168.56.12)
             |
             v
      [Logstash + Kibana VM]
        (192.168.56.11)
             |
             v
      [ElasticSearch VM]
        (192.168.56.10)

Kibana acessa ElasticSearch na 10.

Equipamentos e software

Roteiro

1. Preparar as VMs

   Crie três VMs Linux (Ubuntu Server recomendado) com os endereços IP indicados. Isso isola os papéis e simula um ambiente real.

   O que você deve ver: Três VMs acessíveis entre si via ping.

2. Instalar ElasticSearch

   No VM 192.168.56.10, instale ElasticSearch. Ele é o núcleo de indexação e busca.

   sudo apt update
   sudo apt install apt-transport-https wget -y
   wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
   echo "deb https://artifacts.elastic.co/packages/8.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-8.x.list
   sudo apt update
   sudo apt install elasticsearch -yCopiar

   O que você deve ver: ElasticSearch instalado, serviço disponível na porta 9200.

3. Configurar ElasticSearch

   Edite o arquivo de configuração para aceitar conexões externas e definir o cluster.

   sudo nano /etc/elasticsearch/elasticsearch.yml
   # Ajuste:
   network.host: 0.0.0.0
   cluster.name: elk-lab
   node.name: es01Copiar

   O que você deve ver: Arquivo salvo, configuração aplicada.

4. Iniciar ElasticSearch

   Ative e inicie o serviço.

   sudo systemctl enable elasticsearch
   sudo systemctl start elasticsearchCopiar

   O que você deve ver: Serviço iniciado, status ativo.

5. Instalar Logstash e Kibana

   Na VM 192.168.56.11, instale Logstash e Kibana. Logstash processa logs, Kibana visualiza.

   sudo apt update
   sudo apt install logstash kibana -yCopiar

   O que você deve ver: Ambos instalados, sem erros.

6. Configurar Logstash para receber Filebeat

   Crie um pipeline Logstash para receber logs do Filebeat na porta 5044 e enviar para ElasticSearch.

   sudo nano /etc/logstash/conf.d/01-beats-input.conf
   input { beats { port => 5044 } }
   
   sudo nano /etc/logstash/conf.d/30-elasticsearch-output.conf
   output { elasticsearch { hosts => ["http://192.168.56.10:9200"] index => "lab-logs-%{+YYYY.MM.dd}" } }Copiar

   O que você deve ver: Arquivos criados, sintaxe correta.

7. Iniciar Logstash e Kibana

   Ative e inicie Logstash e Kibana.

   sudo systemctl enable logstash kibana
   sudo systemctl start logstash kibanaCopiar

   O que você deve ver: Ambos em execução, portas 5044 (Logstash) e 5601 (Kibana) abertas.

8. Instalar Filebeat

   Na VM 192.168.56.12, instale Filebeat. Ele coleta logs locais e envia para Logstash.

   sudo apt update
   sudo apt install filebeat -yCopiar

   O que você deve ver: Filebeat instalado.

9. Configurar Filebeat para enviar logs do syslog

   Edite o filebeat.yml para ativar o módulo system e enviar para Logstash.

   sudo filebeat modules enable system
   sudo nano /etc/filebeat/filebeat.yml
   # Ajuste:
   output.logstash:
     hosts: ["192.168.56.11:5044"]Copiar

   O que você deve ver: Configuração salva, módulo system ativado.

10. Iniciar Filebeat

    Ative e inicie Filebeat.

    sudo systemctl enable filebeat
    sudo systemctl start filebeatCopiar

    O que você deve ver: Filebeat em execução, logs sendo enviados.

11. Acessar Kibana

    No navegador, acesse http://192.168.56.11:5601. Kibana permite visualizar os dados indexados.

    O que você deve ver: Tela inicial do Kibana carregada.

12. Configurar Index Pattern no Kibana

    No Kibana, crie um index pattern para 'lab-logs-*'. Isso permite buscar e visualizar os logs.

    O que você deve ver: Index pattern criado, logs visíveis na Discover.

Como saber que funcionou

Troubleshooting

Segurança e hardening

• Altere senhas padrão do ElasticSearch e Kibana após o laboratório.
• Restrinja acesso externo às portas 9200, 5044 e 5601.
• Implemente autenticação e TLS em produção (consulte a documentação).
• Desabilite módulos e outputs não utilizados.

Checklist final

• ElasticSearch responde a requisições HTTP na porta 9200
• Logstash escuta na porta 5044
• Filebeat envia logs do sistema local
• Kibana acessível via navegador
• Index pattern criado e logs visíveis no Discover