尝试本机部署Elastic Defend

显示全部楼层 · 发表于 2026-7-14 22:08:40

本帖最后由 siuank 于 2026-7-14 22:33 编辑

前情提要
我忘了，但是本人喜提新机，但在第一天就被没调过的WD给害了一遍
于是我想着装个杀软让它闭嘴
由于我本来用着的卡巴斯基最近和网易的反作弊冲突让我玩不了国服ow，我只能另寻他路

那么干脆部署一个elastic吧！寻思着反正可以随便折腾，笔记本官网也挂了系统和驱动，出事了也能低成本重装......
不过由于客观原因，我没有能够用来架elasticsearch的服务器，只能尝试本地部署

设备信息
CPU：AMD Razen 7 H 255 W
RAM/Disk: 16GB/512GB
Windows 11

为避免混淆，文中的es均表示elasticsearch，elastic security/defend用ED表示

本机对本机部署的行为不建议模仿，除非你真的闲得慌

感谢Loyisa提供的大量帮助

0x00 准备阶段
去官网直接下载elasticsearch和kibana，解压
先别启动elasticsearch，因为它能把16G运存吃满（无图），翻了下bin和config，在config/jvm.options下发现他们提供了限制es运存的方法
################################################################
If you want to override the JVM options in this file, or set any additional options, you should create one or more files in the jvm.options.d directory containing your adjustments.
################################################################

我们可以根据指示创建以.options结尾的文件限制运存占用

如果自己初次启动时没注意/忘了es自动提供的kibana自动配置token......
那就删掉es/config下的elasticsearch.keystore, cert/，再从压缩包里把崭新的elasticsearch.yml给拉回来
反正是初次配置，这样也不会造成损失，但之后就不一定了（逃）

0x01 启动
从es控制台把东西复制粘贴进去即可
（假装这是一张图片）

先部署Fleet Server，不然在我这甚至连服务都挂不上
（假装这是一张图片）

在机器装完Fleet Server之后，机器上就已经有一个elastic agent和elastic endpoint了

-- 如果你的Fleet Server真的是作为Server的话，建议装docker内，在elasticsearch启动后启动

0x02 配置
接下来配置Elastic Defend

找到Fleet Server的policy，添加Elastic Defend的集成

完成后点ED的policy名字就能进入配置

配置根据自己的需要来调整就行
我的主要目的是让WD闭嘴，那么我无论如何都要让ED注册安全中心

等一会就同步完成

EICAR：

0x03 注意事项
ED不能晚于Fleet启动，Fleet不能晚于ElasticSearch启动
然后忘了

后话

想象这堆东西都在一台实体机里（
但因为我的elasticsearch不会跟着agent自启，所以这个全塞一堆的策略我是不会继续持续的，请大家放心（

花絮：
这什么？勒索诱饵？玩一玩（

遭殃的适配器

填反的IP

显示全部楼层 · 发表于 2026-8-2 01:02:07

学习了

显示全部楼层 · 发表于 2026-8-13 11:25:19

请问整个弄下来需要多少的RAM？

显示全部楼层 · 发表于 2026-8-13 11:45:56

牛的，本机部署Elastic。我一开始以为Elastic还吃显卡呢，毕竟约等于跑AI吧....?

显示全部楼层 · 发表于 2026-8-15 21:37:18

4C4G的服务器能跑的动吗，能跑的动的话我也搞个试试

显示全部楼层 · 发表于 2026-8-16 09:15:30

中文bug修了吗

显示全部楼层 · 发表于 2026-8-18 12:43:22

本帖最后由 siuank 于 2026-8-18 12:49 编辑

dr_pure 发表于 2026-8-13 11:25
请问整个弄下来需要多少的RAM？

Elasticsearch本体限制了2G（不做限制的话你有多少它先占多少）
Fleet和ES本体加起来应该给个4G够了

显示全部楼层 · 发表于 2026-8-18 12:54:19

wuming_bpnes 发表于 2026-8-13 11:45
牛的，本机部署Elastic。我一开始以为Elastic还吃显卡呢，毕竟约等于跑AI吧....?

只开ElasticDefend不用其它策略的话基本上用不到AI功能

要真动到了服务端的性能占用也不低就是了

显示全部楼层 · 发表于 2026-8-18 12:56:44

heheda2001 发表于 2026-8-15 21:37
4C4G的服务器能跑的动吗，能跑的动的话我也搞个试试

再挤一挤Elasticsearch的内存分配应该勉强可以，不过硬盘占用也是它们家组合拳不得不品的一部分

显示全部楼层 · 发表于 2026-8-18 13:01:49

soaringmz 发表于 2026-8-16 09:15
中文bug修了吗

说是老黄历了，我装了ED的电脑貌似也没有什么文件路径是中文所以我没什么感受

[分享] 尝试本机部署Elastic Defend

本帖子中包含更多资源

评分