Kibana界面详解：Discover、Visualize、Dashboard、Canvas、Maps
刚开始接触Kibana时，我其实也挺懵的。左边一长串菜单，到底先点哪个？做HSM审计日志可视化，其实不需要全学，但核心模块必须摸透。我个人习惯把这几个模块叫“五虎将”——Discover、Visualize、Dashboard、Canvas、Maps。它们各有专攻，配合起来威力很大。
今天我就带你逐个拆解，顺便聊聊我在实际项目中遇到的那些坑。
1. Discover — 数据探索的入口
说白了，Discover就是Kibana的“SQL编辑器”加“数据预览器”。你选好索引模式（比如 hsm-audit-*），就能看到原始日志记录。
为什么先讲它？因为你做可视化之前，必须确认数据长什么样。我记得有一次，团队说“HSM日志里没看到操作人字段”，我打开Discover一搜，发现字段被嵌套在 audit.identity 里了，索引模式没展开。你看，一个小问题浪费半天。
date 类型，否则Visulize里图表会空白。
- 搜索语法：支持Lucene语法和KQL（Kibana Query Language）。我个人推荐KQL，更接近自然语言。例如：
event.action: "key_export" - 过滤栏：可以按时间段、字段值快速缩小范围。我曾经用过滤栏排查某个HSM模块的异常操作，一秒钟定位到故障点。
- 保存搜索：建好一个查询条件后，保存成Saved Search，后面在Dashboard里可以复用。
2. Visualize — 把数据变成图表
Discover给你看原始数据，Visualize则帮你把数据“画”出来。柱状图、折线图、饼图、表格、热力图……Kibana内置了十几种可视化类型。
嗯，这里要注意一个坑：聚合方式选错，图表输出结果完全对不上。 我做过一个HSM日志趋势图，用 Date Histogram 聚合，但没设置好最小时间间隔，结果图表里数据点挤成一团。后来把间隔改成 1h 才正常。
Terms 聚合排序方向搞反，展示了最不频繁的操作。检查一下 Order 为 Top 还是 Bottom。
常用的可视化类型及适用场景：
| 类型 | 适用场景 | HSM审计日志案例 |
|---|---|---|
| Data Table | 展示明细数据 | 列出所有失败的密钥操作 |
| Vertical Bar | 对比不同分类的计数 | 各HSM设备操作次数排行 |
| Line | 展示时间趋势 | 每天密钥生成次数走势 |
| Pie | 占比分布 | 操作类型分布（生成/删除/导出） |
| Heatmap | 双维度密度 | 按小时×操作类型的热力矩阵 |
每个可视化都可以保存为 Saved Visualization，供Dashboard调用。记住命名要有规律，比如 HSM_Ops_Trend，不然后期找起来头疼。
3. Dashboard — 组合看板
Dashboard就是你的“驾驶舱”。把多个Saved Visualization和Saved Search拖拽到一个页面，加一些过滤器和时间选择器，就能实时监控HSM审计日志。
我个人最喜欢的是Dashboard的交互联动。比如我在一个柱状图上点击某个HSM设备ID，页面里其他图表自动过滤到这台设备的数据。这个功能在排查特定设备问题时空前好用。
另外，Dashboard支持导出PDF和CSV。你可以把审计报告定期发给团队。不过要注意长Dashboard导出时可能分页，建议控制可视化数量在15个以内。
4. Canvas — 高级定制可视化
Canvas是Kibana里比较特殊的一个模块。它给你一张空白画布，可以用拖拽方式创建高度定制的汇报页面。支持自定义CSS、公式计算、条件判断，甚至可以嵌入图片或SVG。
不过说实话，在HSM审计日志场景下，Canvas有点“杀鸡用牛刀”了。我建议不是做高管汇报大屏的话，先跳过它。我自己只在一次合规审计前，用它做了一个“HSM健康状态仪表盘”，把关键指标放大显示，效果还不错。
- 元素：文本、图片、图表、表格、时间序列等。
- 数据源：可以绑定Saved Search或静态数据。
- 公式：支持
math表达式，比如计算百分比。
5. Maps — 地理空间可视化
Maps模块把数据点、热力图、轨迹等绘制在地图上。对于HSM审计日志，我很少用到地理信息——除非你的HSM设备分布在多个机房或地理位置。有一次客户要求展示“各区域HSM操作量热力图”，我就用了Maps。
操作很简单：先确保日志里有经纬度或地理坐标字段（比如 geo.coordinates），然后在Maps里添加数据层，选择Heatmap样式。老实说，如果你的日志里没有位置信息，这一章可以直接跳过。
| 模块 | 核心用途 | HSM日志中的常见用法 |
|---|---|---|
| Discover | 原始数据搜索、过滤、验证 | 查看特定操作的日志详情 |
| Visualize | 创建各类图表 | 操作趋势、分布、TOP N |
| Dashboard | 组合图表、交互看板 | 审计监控大屏 |
| Canvas | 自定义画布、汇报页面 | 高管定制报表 |
| Maps | 地理信息可视化 | 设备地理位置操作热力图 |
知识结构总览
下面这张图帮你理清这五个模块之间的关系和流程。
看完这张图你就能理解：数据从Discover流到Visualize，然后汇总到Dashboard。Canvas和Maps属于高级扩展，一般不做主流程。
说说我的实践顺序
如果你刚接手一个HSM审计日志项目，我建议你按这个顺序走：
- 先在Discover里确认日志数据是否完整、字段解析正常。
- 根据审计需求，在Visualize里创建2-3个核心图表（比如操作次数趋势、失败操作列表）。
- 拖入Dashboard，加一个全局时间过滤器，保存后分享给团队。
- 如果老板要炫酷大屏，再考虑Canvas。
- 如果HSM设备跨地域，用Maps展示热力图。
千万不要一上来就五个模块全建一遍，很容易陷入“工具疲劳”。我见过太多人把时间花在调整图表颜色上，结果数据都没验证。记住：先把数据看清，再谈展示。