Winlogbeat官方手册学习

本文写于本科毕设期间，是对winlogbeat官方文档的学习，不做他用，仅以此来记录我的毕设之旅。

winlogbeat概述

将windows事件发送到elasticsearch或者logstash，本次毕设将winlogbeat连接到elasticsearch，是一个windows服务。
使用windows API读取一个或者多个日志，根据用户自定义规则来过滤威胁事件日志，并且将事件发送到Elasticsearch

Winlogbeat 可以从系统上运行的任何事件日志中捕获事件数据，例如：
application events 应用程序事件
hardware events 硬件事件
security events 安全事件
system events 系统事件

winlogbeat本质是一个轻量的Beat，基于libbeat框架。
由于只用来实验用，因此没有对winlogbeat设置密码

winlogbeat命令

export 将配置、索引模板、 ILM 策略或指示板导出到 stdout，可以使用此命令快速查看您的配置，查看索引模板和 ILM 策略的内容，或者从 Kibana 导出一个仪表板

参数——
config：winlogbeat.yml配置信息

dashboard：导出一个指示板。您可以使用此选项将仪表板存储在模块中的磁盘上并自动加载它。例如，要将仪表板导出到 JSON 文件，请运行:

winlogbeat export dashboard --id="DASHBOARD_ID" > dashboard.json

要查找 DASHBOARD _ id，请查看 Kibana 的 DASHBOARD 的 URL。默认情况下，export 仪表板将仪表板写入 stdout。该示例演示如何将仪表板写入 JSON 文件，以便以后可以导入它。JSON 文件将包含所有可视化和搜索的仪表板。

dashboard id：显示在url中的一串字符

要加载 dashboard，请将生成的 dashboard.json 文件复制到 Winlogbeat 的 kibana/6/dashboard 目录，并运行

Winlogbeat setup -- dashboards 

导入 dashboard

template: 导出模板， --dir="temp"指定导出文件的位置

help 帮助
keystore 管理密钥
run 运行winlogbeat
参数——
-n：该选项禁用除文件输出以外的所有输出
–cpuprofile FILE：将CPU profile数据写入指定文件。这个选项对于排除Winlogbeat故障很有用。
—httpprof [HOST]:PORT：启动http服务器进行分析。这个选项对于排除故障和分析Winlogbeat非常有用。
–memprofile FILE：将内存配置文件数据写入指定的输出文件。这个选项对于排除Winlogbeat故障很有用

setup 设置初始环境，包括索引模板、 ILM 策略和写别名，以及 Kibana 仪表板
参数——
–dashboards：设置Kibana仪表板。这个选项从Winlogbeat包中加载仪表板。
–index-management：设置与Elasticsearch索引管理相关的组件，包括模板、ILM策略和写别名

winlogbeat setup --dashboards
winlogbeat setup --machine-learning
winlogbeat setup --index-management

test 测试配置

winlogbeat test SUBCOMMAND [FLAGS]

参数——
config：测试配置信息
output：测试Winlogbeat是否可以通过使用当前设置连接到输出
version 版本

全局参数：
-E：覆盖特定的配置设置。可以指定多个重写
例如

winlogbeat -E "name=mybeat" -E "output.elasticsearch.hosts=['http://myhost:9200']"

此设置应用于当前运行的Winlogbeat进程。Winlogbeat配置文件未修改。

-c：指定用于Winlogbeat的配置文件。 在此处指定的文件是相对于path.config的。 如果未指定-c标志，则使用默认配置文件winlogbeat.yml。

-d：为指定的选择器启用调试。 对于选择器，您可以指定一个逗号分隔的组件列表，也可以使用-d“ *”启用所有组件的调试。 例如，-d“ publish”显示所有与“ publish”相关的消息。

-e：登录到stderr并禁用syslog /文件输出。

winlogbeat配置文件

默认的配置文件名为 winlogbeat.yml

winlogbeat

该部分指定了要监视的事件日志列表，例如：

name: Application
    ignore_older: 72h
name: System
name: Security

可以在 winlogbeat.yml 配置文件的 winlogbeat 部分指定以下选项:
registry_file: Winlogbeat存储信息的文件名，这些信息用于重启后恢复监控。默认情况下，该文件存储为.winlogbeat.yml

winlogbeat.registry_file: C:/ProgramData/winlogbeat/.winlogbeat.yml

shutdown_timeout :关闭时等待发布所有事件的时间，也就是关闭迟延。默认情况下没有关闭超时，因此 Winlogbeat 将不等待就停止，重新启动时，它将从每个事件日志中上次成功发布的事件中恢复。
有效时间单位为 ns，us，ms，s，m，h

winlogbeat.shutdown_timeout: 30s

event_logs:指定要监视的事件日志。列表中的每个条目都定义了要监视的事件日志，以及与事件日志相关联的任何信息(筛选器、标记等)。Name 字段是每个事件日志唯一需要的字段。

winlogbeat.event_logs:
	- name: Applicat