确保Kibana面向面向互联网的创业公司

Question

Kibana＆amp; amp;不是网络安全专家。我们正在努力建立一个小型创业公司，我们正在利用Kibana 5.x为我们的后台分析师进行数据探索。这是一个webapp，可以通过互联网访问。 此外，X-PACK安全性（虽然很有希望）可能不是我们的选择，纯粹是因为成本。

我想总结一下我的想法，并让专业人士在这里验证。

• 首先，我正在考虑将Elasticsearch置于防火墙之后，以便只有我的APP服务器和Kibana服务器可以访问 - ES现在是安全的。
• 我正在考虑使用反向代理（Apache或Nginx）面向Kibana并应用基本身份验证。一切都将通过HTTPS。
• 我只允许通过此反向代理向Gibana发出GET请求，以便用户可以只读。

这有差距吗？另外我想知道Kibana是否通过浏览器上运行的Javascript直接调用Elasticsearch？如果这是真的那么我们将有另一个潜在的后门去ES。如果这是真的应该怎么做。