www.ctrl-click.fr

GET _cluster/settings?include_defaults=true

PUT _cluster/settings
{
  "persistent": {
    "ingest.geoip.downloader.enabled": true
  }
}

GET _ingest/geoip/stats

POST _ingest/pipeline/_simulate
{
  "pipeline": {
    "processors": [
      {
        "geoip": {
          "field": "client.ip"
        }
      }
    ]
  },
  "docs": [
    {
      "_source": {
        "client": {
          "ip": "8.8.8.8"
        }
      }
    }
  ]
}

Bonjour,

Un petit tuto, pour afficher une carte, dans vos Dashboards (Si vous avez pas trouvés, ou si vous avez pas cherchés :P )





[attachment=26]1.png[/attachment]

1) Cliquez ici pour créer une visualisation (à partir de l'affichage d'une visualisation en cours).

[attachment=25]2.png[/attachment]

1) Laissez tel quel (car "filebeat-* est présent).
2) Saisissez dans recherche "geo.location"




[attachment=24]3.png[/attachment]

1) Cliquez sur "source.geo.location, sans relâcher,
2) Puis, déplacez-le dans cette zone

[attachment=23]4.jpg[/attachment]

1) Vous avez les IP externes géolocalisés (sources),
2) Selon ce calque,
3) Nous allons ajouter un autre calque (celui des destinations, comme nous avons ajoutés celui des sources)

[attachment=22]5.jpg[/attachment]

1) Ensuite, cliquez sur "Elasticsearch"
2) "Documents"

[attachment=21]6.png[/attachment]

1) Défilez ici
2) Je choisis tous les champs (pour rester cohérant, avec l'autre calque), mais, vous pouvez tout aussi bien, ne choisir que "filebeat-*", ou ".ds-filebeat-9.4.*", ça doit fonctionner logiquement)

[attachment=20]7.png[/attachment]
1) Supprimez celui-ci, comme on l'a déjà (sinon, il va ajouter 2x le même)

[attachment=19]8.png[/attachment]
Choisissez celui-ci



[attachment=18]9.png[/attachment]
Cliquez ici



[attachment=17]10.jpg[/attachment]
Choisissez une autre couleur que "source.geo.location"


[attachment=16]11.png[/attachment]
1) Choisissez ici un nom plus intélligible
2) Il se met à jour automatiquement
(vous pouvez, après, changer celui des sources)



[attachment=15]12.png[/attachment]
Fini.





[attachment=14]13.png[/attachment]
1) Vous obtenez alors une carte, avec les connexions selon les endroits du monde
2) Cliquez sur "Enregistrer et revenir"


[attachment=13]14.jpg[/attachment]
Voilà, vous avez votre carte avec la géolocalisation.

Et encore mieux, j'ai trouvé des meilleurs tableaux à afficher, qui sont directement crées par filebeat (en fouillant, pour résoudre mes problèmes) :


[attachment=12]15.png[/attachment]
1) Allez à l'accueil (en haut à gauche)



[attachment=11]16.png[/attachment]
1) Cliquez sur "Analytique"



[attachment=10]17.png[/attachment]
1) Dashboard


[attachment=9]18.png[/attachment]
1) Il s'agit de celui-là.





[attachment=8]19.png[/attachment]
1) Choisissez ici, "Events" ou "Alerts" (dans Alerts, tout en bas, vous avec 2 cartes avec la géolocalisation des IP problématiques)



Vous avez aussi une autre carte (très utile) ici :

[attachment=7]20.jpg[/attachment]


Menu : Securité -> Tableaux de bord -> Explorer -> Réseau

D'ailleurs, je vous conseille de vous balader - découvrir, la section "Sécurité", c'est super bien fait, et pour la version gratuite, il y a beaucoup de choses intéressantes, côté cybersécurité (investigation sur une communication, requête whois, virustotal et talos, directement dans les menus, entre autres)…





Si la géolocalisation ne marche pas (comme chez moi), je vous propose ma solution :

Tout d'abord, ChatGPT, m'a conseillé, de recréer une vue de données (.ds-filebeat-9.4.*), contenant le flux de données, filebeat-9.4.0, crée automatiquement par filebeat, sur le serveur suricata (mais, cela reste facultatif.)



[attachment=6]21.png[/attachment]
Allez tout en bas du menu d'ELK (dans Kibana), afin de cliquer sur "Gestion de la suite"


[attachment=5]22.png[/attachment]
Cliquez sur "Vue de données"



[attachment=4]23.png[/attachment]
-> "Créer une vue de données" (tout en haut à droite)




[attachment=3]24.png[/attachment]
1) Saisissez ici, le nom (arbitraire)
2) Saisissez ici le nom "filebeat-", ainsi que le numéro de la version, (majeure et mineure) en remplaçant, le dernier chiffre, par * (pour moi 9.4.*)
3) Ici apparaissent les sources concernés
4) Saisissez @timestamp comme champ d'horodatage
5) Enregistrez.





[attachment=2]25.png[/attachment]
1) Vous pouvez vérifier que pour la vue de données crée,
2) En saisissant ici le champ "source.geo.country_iso_code"
3) Le champ apparaît bien.



Problème sans doute de la base de données GeoLite2 (c'était le cas chez moi…)

Dans une console PowerShell :
curl -v https://geoip.elastic.co/v1/database

Doit se terminer par :
geoip.elastic.co:443 left intact
(j'avais un problème à ce niveau, mon antivirus me bloquait le (réécrivait sans doute) le certificat HTTPS)

Ensuite, dans la console de débogage, de Kibana, faire (pour vérifier si GeoIP est actif) :

Dans la console management ELK :

[attachment=1]26.png[/attachment]

Pour rappel, la console de management ELK se trouve ici

Saisissez à l'intérieur :

[code]GET _cluster/settings?include_defaults=true[/code]

Et chercher dans la réponse :

[attachment=0]27.jpg[/attachment]

Tapez [ctrl]+[f] et recherchez "geo"
Observez les différents éléments, vous montrant que geoip n'a pas été téléchargé, et n'est pas activé.

Puis, pour activer le module GeoIP, saisissez (toujours dans la console de management Kibana) :

[code]PUT _cluster/settings
{
"persistent": {
"ingest.geoip.downloader.enabled": true
}
}[/code]

Réponse :


[quote]{
"acknowledged": true,
"persistent": {
"ingest": {
"geoip": {
"downloader": {
"enabled": "true"
}
}
}
},
"transient": {}
}
[/quote]


Puis, pour forcer le téléchargement :


[code]GET _ingest/geoip/stats[/code]

Réponse :


[quote]{
"stats": {
"successful_downloads": 3,
"failed_downloads": 0,
"total_download_time": 26400,
"databases_count": 3,
"skipped_updates": 0,
"expired_databases": 0
},
"nodes": {
"azerty…": {
"databases": [
{
"name": "GeoLite2-ASN.mmdb"
},
{
"name": "GeoLite2-City.mmdb"
},
{
"name": "GeoLite2-Country.mmdb"
}
],
…[/quote]

Vous voyez ici les 3 bases de données GeoIP (GeoLite2) qui sont en cours de téléchargement/sont téléchargés

Vérifier avec le DNS de google (8.8.8.8) :

[code]POST _ingest/pipeline/_simulate
{
"pipeline": {
"processors": [
{
"geoip": {
"field": "client.ip"
}
}
]
},
"docs": [
{
"_source": {
"client": {
"ip": "8.8.8.8"
}
}
}
]
}
[/code]

Réponse :


[quote]{
"docs": [
{
"doc": {
"_index": "_index",
"_version": "-3",
"_id": "_id",
"_source": {
"client": {
"ip": "8.8.8.8"
},
"geoip": {
"continent_name": "North America",
"country_name": "United States",
"location": {
"lon": -97.822,
"lat": 37.751
},
"country_iso_code": "US"
}
},
"_ingest": {
"timestamp": "2026-05-11T16:09:06.7635894Z"
}
}
}
]
}[/quote]


Bonne fin de nuit.

Source : Merci ChatGPT.