部署Winlogbeat--Elastic Stack之九

1.概述

Winlogbeat将Windows事件日志发送到Elasticsearch或Logstash。可以将其安装为Windows服务。

Winlogbeat使用Windows API从一个或多个事件日志中读取，根据用户配置的条件过滤事件，然后将事件数据发送到配置的输出（Elasticsearch或Logstash）。Winlogbeat监视事件日志，以便及时发送新的事件数据。每个事件日志的读取位置都保留在磁盘上，以允许Winlogbeat在重新启动后恢复。

Winlogbeat可以从系统上运行的任何事件日志中捕获事件数据。例如，可以捕获以下事件：

application events/应用事件

hardware events/硬件事件

security events/安全事件

system events/系统事件

 

2.安装

安装包下载地址：https://www.elastic.co/cn/downloads/beats/winlogbeat

解压安装包到C:\Program Files\Winlogbeat，右键，选择使用PowerShell运行；如此便注册成系统服务；

3.修改配置

在winlogbeat.yml中加入

setup.kibana:
  host: "192.168.1.224:5601"

output.elasticsearch:
  hosts: ["192.168.1.223:9200","192.168.1.224:9200","192.168.1.225:9200"]

4.验证配置文件及启动

打开cmd,

#cd C:\Program Files\Winlogbeat

#winlogbeat.exe test config -c  winlogbeat.yml -e

出现ok,表示正常；

在系统服务里点启动

#启动索引管理
#winlogbeat setup --index-management

#导入仪表板
#winlogbeat setup --dashboards

#在elasticsearch-head查看索引

#在kibana中查看索引和仪表板

 

 

---

参考链接：

https://www.elastic.co/guide/en/beats/winlogbeat/index.html