Kibana 新手，不是网络安全专家。我们正在尝试建立一家小型初创公司，在其中我们利用 Kibana 5.x 为我们的后台分析师进行数据探索。这是一个网络应用程序，可通过互联网访问。此外，纯粹因为成本，X-PACK 安全性（尽管很有希望）可能不是我们的选择。
我想总结一下我的想法，并在这里得到专业人士的验证。
- 首先，我正在考虑将 Elasticsearch 放在防火墙后面，这样只有我的 APP 服务器和 Kibana 服务器可以访问 - ES 现在是安全的。
- 我正在考虑使用反向代理（Apache 或 Nginx）面向 Kibana 并应用基本身份验证。一切都将通过 HTTPS。
- 我将只允许通过此反向代理向 Kibana 发出 GET 请求，以便用户只读。
这有差距吗？另外我想知道 Kibana 是否从浏览器上运行的 Javascript 直接调用 Elasticsearch？如果这是真的，那么我们将有另一个潜在的后门进入 ES。如果这是真的应该怎么办。