elk收集windows日志

参考网站：https://www.secpulse.com/archives/55636.html

https://blog.csdn.net/qq_38094271/article/details/80195599     （）

https://mp.weixin.qq.com/s/vekp5-tWPNe0DJyA92zhfg

https://blog.csdn.net/vip100549/article/details/79592409    （关闭powershell安全防护进行安装，否则会报错） PS C:\Program Files\Winlogbeat> set-executionpolicy remotesigned

打开windowsPowerShell进行安装，

1、下载软件 winlogbeat： https://artifacts.elastic.co/downloads/beats/winlogbeat/winlogbeat-6.2.4-windows-x86_64.zip
2、修改里面的内容，其余的全部注释掉，下面的IP为elasticsearch的服务器地址。

winlogbeat.event_logs:
  - name: Application
    ignore_older: 72h
  - name: Security
  - name: System

output.logstash:
  # The Logstash hosts
  hosts: ["192.11.33.18:5044"]

3、然后运行安装命令，

4、然后再打开elasticsearch的ip服务地址，192.11.33.18:5044，进行查看，就可看到windows的日志。