Informations de base

Kibana est connu pour sa capacité à rechercher et visualiser des données dans Elasticsearch, fonctionnant généralement sur le port 5601. Il sert d'interface pour les fonctions de surveillance, de gestion et de sécurité du cluster Elastic Stack.

Compréhension de l'authentification

Le processus d'authentification dans Kibana est intrinsèquement lié aux identifiants utilisés dans Elasticsearch. Si l'authentification d'Elasticsearch est désactivée, Kibana peut être accessible sans aucun identifiant. En revanche, si Elasticsearch est sécurisé avec des identifiants, les mêmes identifiants sont nécessaires pour accéder à Kibana, maintenant des permissions utilisateur identiques sur les deux plateformes. Les identifiants peuvent être trouvés dans le fichier /etc/kibana/kibana.yml. Si ces identifiants ne concernent pas l'utilisateur kibana_system, ils peuvent offrir des droits d'accès plus larges, car l'accès de l'utilisateur kibana_system est limité aux API de surveillance et à l'index .kibana.

Actions à entreprendre après l'accès

Une fois l'accès à Kibana sécurisé, plusieurs actions sont conseillées :

• Explorer les données d'Elasticsearch devrait être une priorité.
• La capacité de gérer les utilisateurs, y compris l'édition, la suppression ou la création de nouveaux utilisateurs, rôles ou clés API, se trouve sous Gestion de la pile -> Utilisateurs/Rôles/Clés API.
• Il est important de vérifier la version installée de Kibana pour des vulnérabilités connues, telles que la vulnérabilité RCE identifiée dans les versions antérieures à 6.6.0 (More Info).

Considérations SSL/TLS

Dans les cas où SSL/TLS n'est pas activé, le potentiel de fuite d'informations sensibles doit être soigneusement évalué.

Références

• https://insinuator.net/2021/01/pentesting-the-elk-stack/