Websites herunterladen, die Kibana nutzen

Über Kibana

Kibana ist dafür gemacht, dass die Betreiber eines Systems darauf schauen, nicht dessen Besucher. Die Dashboards, die es zeichnet, sind einem Elasticsearch-Cluster vorgeschaltet und dienen der Log-Triage, der Kapazitätsplanung und der Auswertung von Vorfällen, also Arbeit, die normalerweise hinter einem Login stattfindet. Stößt man beim Crawlen des öffentlichen Webs auf eine solche Konsole, ist das bereits ein Befund für sich, denn die Software antwortet jedem, der fragt, und nicht nur einem internen Publikum.

Stand Oktober 2026 erfassen wir Kibana auf 14 Websites, gemessen am Maßstab des Webs eine kleine Zahl und genau das, was man von einem Tool erwarten würde, das in ein internes Netz gehört. Zu der Zählung tragen zwei sehr unterschiedliche Fälle bei. Manche Hosts veröffentlichen Observability- oder Status-Dashboards bewusst, für eine Community, einen Kundenstamm oder ein öffentliches Infrastrukturprojekt. Andere sind Konsolen, die für eine Evaluierung aufgesetzt, an eine öffentliche Adresse angebunden und nie wieder geschlossen wurden. Unsere Daten können die beiden Fälle nicht trennen, und wer die Liste nutzt, sollte die Einträge von Hand sortieren, bevor er Schlüsse zieht.

Die Verteilung der Versionen ist hier ungewöhnlich aufschlussreich. Unser Index enthält für diesen Eintrag 2 verschiedene Release-Strings, und immer wieder taucht Version 6.1.2 auf. Ein Dashboard-Tool, das noch ein altes Release ausliefert, ist selten eine bewusste technische Entscheidung. Alte Release-Strings auf einer öffentlich erreichbaren Konsole kennzeichnen meist eine Installation, für die sich niemand zuständig fühlt, und das ist genau der Bestand, den Sicherheitsforscher, interne Revisionsteams und Anbieter von Managed Observability jeweils aus eigenen Gründen suchen.

Die Software ist in der Kategorie Analytics katalogisiert, in JavaScript geschrieben, stammt vom Anbieter Elastic und existiert seit 2013. Da sich die Lizenzierung dieser Produktfamilie im Lauf der Jahre mehr als einmal geändert hat, sollten Sie die Lizenzangabe Apache 2.0 in unserem Eintrag als Vermerk im Katalog lesen und nicht als Auskunft darüber, wofür eine bestimmte Installation genutzt werden darf.

Auch ein Wort zur Taxonomie gehört hierher. Weil der Eintrag in der Kategorie Analytics geführt wird, steht er neben Skripten zur Besuchermessung, und wer diese Kategorie durchsieht, könnte durchaus annehmen, es handle sich um eine einzige Softwarefamilie. In der Praxis haben Besuchermessung und Betriebskonsole fast nichts gemeinsam. Ein Tracking-Tag für Seitenanalysen wird bewusst auf einer Website platziert, um ihre Besucher zu messen. Eine Betriebskonsole ist Infrastruktur, die zufällig von außen erreichbar ist. Wer unsere Analytics-Kategorie zur Bestimmung von Marktgrößen segmentiert, ohne Einträge wie diesen abzutrennen, bläht einen Markt auf, in dem die Software nie verkauft wurde.

Die Erkennung hängt von Merkmalen in der ausgelieferten Antwort ab. Die Zahl ist daher eine Untergrenze. Eine Konsole hinter Single Sign-on, ein Reverse Proxy, der die Seite umschreibt, ein ungewöhnlicher Port oder eine Zugriffssteuerungsliste halten eine Installation aus unseren Daten heraus, auch wenn sie völlig real ist. Was uns entgeht, sind unsichtbare Instanzen, keine Phantome. Die Richtung des Fehlers ist also bekannt.

Eine Einzelabfrage pro Domain zeigt, ob ein bestimmter Host die Software betreibt. Eine herunterladbare Liste klärt eine Frage, die eine Einzelabfrage strukturell nicht klären kann: wie groß der exponierte Bestand ist, wie er sich auf die Release-Strings verteilt und ob er zwischen den Exporten schrumpft oder wächst. Eine einmalige Zählung dieses Bestands zeigt die Größe eines Problems. Eine zweite Zählung im nächsten Monat zeigt, ob jemand es behebt.