logstash客户端传送symantec日志到elasticsearch

一、安装相应版本的logstash

wget https://artifacts.elastic.co/downloads/beats/logstash/logstash-7.5.2-x86_64.rpm
rpm -ivh logstash-7.5.2-x86_64.rpm

二、配置rsyslog接收Symantec发送的日志

略

三、logstash的相关配置

vim /etc/logstash/conf.d/symantec,conf
 # 这里的elasticsearch我是加密了的
input {
    file {
        path => ["/var/log/symantec/*.log"]
        start_position => "beginning"
    }
 }
filter {
    grok {
        match => { "message" => "%{TIME:time} %{WORD:server} %{WORD:sevice}\: %{DATA:event}\,IP 地址: %{IP:ip}\,计算机名: %{DATA:computername},源:%{DATA:source},风险名称: %{DATA:riskname},出现次数: %{DATA:existtimes},文件路径: %{DATA:path},应用程序名: %{DATA:appname}," }
        remove_field => ["message"]
    }
}
output {
        elasticsearch {
                hosts => ["172.20.0.118:9200"]
                user => "elastic"
                password => "Spring01"
                index => "netsec_symantec-%{+yyyy.MM.dd}"
        }
}

systemctl start logstash齐活

__EOF__

本文作者：带着泥土
本文链接：https://www.cnblogs.com/obitoma/p/14166363.html
关于博主：评论和私信会在第一时间回复。或者直接私信我。
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！
声援博主：如果您觉得文章对您有帮助，可以点击文章右下角【推荐】一下。您的鼓励是博主的最大动力！