Beats：如何安装 Packetbeat

已于 2022-06-27 09:35:09 修改
阅读量3.8k 收藏 1
点赞数 1
分类专栏： Beats Elastic 文章标签： elasticsearch 大数据 big data Elastic
于 2020-03-17 16:14:37 首次发布
本文为博主原创文章，未经博主允许不得转载。
本文链接：https://blog.csdn.net/UbuntuTouch/article/details/104920852
版权

网络数据包分析器 Packetbeat 是第一个引入的 beat。 Packetbeat 捕获服务器之间的网络流量，因此可用于应用程序和性能监视。Packetbeat 可以安装在受监视的服务器上，也可以安装在其专用服务器上。 Packetbeat 跟踪网络流量，解码协议并记录每笔交易的数据。 Packetbeat 支持的协议包括：DNS，HTTP，ICMP，Redis，MySQL，MongoDB，Cassandra 等。理解像 Packetbeat 这样的网络数据包分析系统的价值的最佳方法是根据自己的流量进行尝试。更多信息，请参阅Elastic 的官方网站 Packetbeat: Network Analytics Using Elasticsearch | Elastic。

要开始你自己的 Packetbeat 设置，请安装和配置以下相关产品：

  • 用于存储和索引数据的 Elasticsearch
  • 用户界面的 Kibana

如果你还没有完成自己的 Elasticsearch 及 Kibana 的安装，请参阅我们之前的文章 “Elastic：开发者上手指南”。

对于有经验的开发者来说，我们可以直接进入到 Elastic 公司的官网直接下载，并安装。下载地址为 Download Beats: Data Shippers for Elasticsearch | Elastic。当我们下载时，必须注意选择和自己 Elasticsearch 想匹配的版本。我们可以可以在自己的电脑上直接使用命令来进行安装。你可以根据自己的版本替换下面命令行中的7.6.1版本号码。

deb:

sudo apt-get install libpcap0.8
curl -L -O https://artifacts.elastic.co/downloads/beats/packetbeat/packetbeat-7.6.1-amd64.deb
sudo dpkg -i packetbeat-7.6.1-amd64.deb
rpm:
sudo yum install libpcap
curl -L -O https://artifacts.elastic.co/downloads/beats/packetbeat/packetbeat-7.6.1-x86_64.rpm
sudo rpm -vi packetbeat-7.6.1-x86_64.rpm

mac:

curl -L -O https://artifacts.elastic.co/downloads/beats/packetbeat/packetbeat-7.6.1-darwin-x86_64.tar.gz
tar xzvf packetbeat-7.6.1-darwin-x86_64.tar.gz

brew:

brew tap elastic/tap
brew install elastic/tap/packetbeat-full

这将安装最新发行的 Packetbeat 默认发行版。 要安装 OSS 发行版，请指定 elastic/tap/packetbeat-oss。

linux:

curl -L -O https://artifacts.elastic.co/downloads/beats/packetbeat/packetbeat-7.6.1-linux-x86_64.tar.gz
tar xzvf packetbeat-7.6.1-linux-x86_64.tar.gz

win:

下载并安装实现 libpcap 接口的数据 sniffing 库，例如 Npcap。

如果使用 Npcap，请确保以 WinPcap API 兼容模式安装它。 如果你打算从 loopback 设备捕获流量（127.0.0.1流量），则还选择支持 loopback 流量的选项。

  • 从下载页面下载 Packetbeat Windows zip 文件
  • 将 zip 文件的内容提取到 C:\Program Files
  • 将 packetbeat- <版本> -windows 目录重命名为 Packetbeat
  • 以管理员身份打开 PowerShel l提示符（右键单击 PowerShell 图标，然后选择“以管理员身份运行”）。

在 PowerShell 提示符下，运行以下命令以将 Packetbeat 安装为 Windows 服务：

PS > cd 'C:\Program Files\Packetbeat'
PS C:\Program Files\Packetbeat> .\install-service-packetbeat.ps1

 请注意：如果在系统上禁用了脚本执行，则需要为当前会话设置执行策略以允许脚本运行。 例如：

PowerShell.exe -ExecutionPolicy UnRestricted -File .\install-service-packetbeat.ps1

在使用Packetbeat之前，我们必须配置 Packetbeat 才可以使它正常工作。在 Packetbeat 的安装目录下，有一个叫做 packetbeat.yml 的配置文件（针对 Linux 的情况，它位于 /etc/packetbeat/ 目录下）。在最简单的情况下，我们必须修改：

output.elasticsearch:
  hosts: ["myEShost:9200"]
  username: "filebeat_internal"
  password: "YOUR_PASSWORD" 
setup.kibana:
  host: "mykibanahost:5601"
  username: "my_kibana_user"  
  password: "YOUR_PASSWORD"

我们需要把 Elasticsearch 及 Kibana 的地址填入到上面的位置。这样我们我们就可以把数据传入到 Elasticsearch 中，并在 Kibana 中的 Dashboard 中进行展示。更多的配置请参阅 Elastic 的官方文档 “Configure Packetbeat”。

等修改完我们的 packetbeat.yml 文件后，我们可以使用如下的命令来检查修改后的文件是否正确：

sudo packetbeat test config -e

如果你看到如下的类似的输出：

$ sudo packetbeat test config -e
2020-03-17T16:18:14.995+0800	INFO	instance/beat.go:622	Home path: [/usr/share/packetbeat] Config path: [/etc/packetbeat] Data path: [/var/lib/packetbeat] Logs path: [/var/log/packetbeat]
2020-03-17T16:18:14.995+0800	INFO	instance/beat.go:630	Beat ID: 7855ec98-8eb1-4639-a65f-936acfc2cabd
2020-03-17T16:18:14.996+0800	INFO	[beat]	instance/beat.go:958	Beat info	{"system_info": {"beat": {"path": {"config": "/etc/packetbeat", "data": "/var/lib/packetbeat", "home": "/usr/share/packetbeat", "logs": "/var/log/packetbeat"}, "type": "packetbeat", "uuid": "7855ec98-8eb1-4639-a65f-936acfc2cabd"}}}
2020-03-17T16:18:14.996+0800	INFO	[beat]	instance/beat.go:967	Build info	{"system_info": {"build": {"commit": "c1c49432bdc53563e63e9d684ca3e9843626e448", "libbeat": "7.6.1", "time": "2020-02-28T23:00:10.000Z", "version": "7.6.1"}}}
2020-03-17T16:18:14.996+0800	INFO	[beat]	instance/beat.go:970	Go runtime info	{"system_info": {"go": {"os":"linux","arch":"amd64","max_procs":6,"version":"go1.13.8"}}}
2020-03-17T16:18:14.996+0800	INFO	[beat]	instance/beat.go:974	Host info	{"system_info": {"host": {"architecture":"x86_64","boot_time":"2020-03-17T05:49:48+08:00","containerized":false,"name":"liuxg","ip":["127.0.0.1/8","::1/128","192.168.43.192/24","fe80::4335:a826:a61b:c231/64"],"kernel_version":"5.3.0-40-generic","mac":["08:00:27:2a:f0:fa"],"os":{"family":"debian","platform":"ubuntu","name":"Ubuntu","version":"18.04.4 LTS (Bionic Beaver)","major":18,"minor":4,"patch":4,"codename":"bionic"},"timezone":"CST","timezone_offset_sec":28800,"id":"aa0be63698ff4d65848345a09778d58b"}}}
2020-03-17T16:18:14.997+0800	INFO	[beat]	instance/beat.go:1003	Process info	{"system_info": {"process": {"capabilities": {"inheritable":null,"permitted":["chown","dac_override","dac_read_search","fowner","fsetid","kill","setgid","setuid","setpcap","linux_immutable","net_bind_service","net_broadcast","net_admin","net_raw","ipc_lock","ipc_owner","sys_module","sys_rawio","sys_chroot","sys_ptrace","sys_pacct","sys_admin","sys_boot","sys_nice","sys_resource","sys_time","sys_tty_config","mknod","lease","audit_write","audit_control","setfcap","mac_override","mac_admin","syslog","wake_alarm","block_suspend","audit_read"],"effective":["chown","dac_override","dac_read_search","fowner","fsetid","kill","setgid","setuid","setpcap","linux_immutable","net_bind_service","net_broadcast","net_admin","net_raw","ipc_lock","ipc_owner","sys_module","sys_rawio","sys_chroot","sys_ptrace","sys_pacct","sys_admin","sys_boot","sys_nice","sys_resource","sys_time","sys_tty_config","mknod","lease","audit_write","audit_control","setfcap","mac_override","mac_admin","syslog","wake_alarm","block_suspend","audit_read"],"bounding":["chown","dac_override","dac_read_search","fowner","fsetid","kill","setgid","setuid","setpcap","linux_immutable","net_bind_service","net_broadcast","net_admin","net_raw","ipc_lock","ipc_owner","sys_module","sys_rawio","sys_chroot","sys_ptrace","sys_pacct","sys_admin","sys_boot","sys_nice","sys_resource","sys_time","sys_tty_config","mknod","lease","audit_write","audit_control","setfcap","mac_override","mac_admin","syslog","wake_alarm","block_suspend","audit_read"],"ambient":null}, "cwd": "/etc/packetbeat", "exe": "/usr/share/packetbeat/bin/packetbeat", "name": "packetbeat", "pid": 5187, "ppid": 5186, "seccomp": {"mode":"disabled","no_new_privs":false}, "start_time": "2020-03-17T16:18:14.350+0800"}}}
2020-03-17T16:18:14.997+0800	INFO	instance/beat.go:298	Setup Beat: packetbeat; Version: 7.6.1
2020-03-17T16:18:14.997+0800	INFO	[index-management]	idxmgmt/std.go:182	Set output.elasticsearch.index to 'packetbeat-7.6.1' as ILM is enabled.
2020-03-17T16:18:14.997+0800	INFO	elasticsearch/client.go:174	Elasticsearch url: http://192.168.43.220:9200
2020-03-17T16:18:14.997+0800	INFO	[publisher]	pipeline/module.go:110	Beat name: liuxg
2020-03-17T16:18:14.997+0800	INFO	procs/procs.go:105	Process watcher disabled
Config OK

则表明我们的配置是成功的。

等配置完我们的 Packetbeat，并配置完后我们运行如下的命令进行 setup (Linux):

sudo packetbeat setup
$ sudo packetbeat setup
Overwriting ILM policy is disabled. Set `setup.ilm.overwrite:true` for enabling.

Index setup finished.
Loading dashboards (Kibana must be running and reachable)
Loaded dashboards

上面显示我们已经成功地安装了 Dashboard 及配置 Index。

接下来我们使用如下的命令来启动这个 packetbeat 的服务 （Linux)：

sudo service packetbeat start

我们可以在 Linux 下查看这个服务：

$ systemctl status packetbeat
● packetbeat.service - Packetbeat analyzes network traffic and sends the data to Elasticsearch.
   Loaded: loaded (/lib/systemd/system/packetbeat.service; disabled; vendor preset: enabled)
   Active: active (running) since Tue 2020-03-17 16:02:56 CST; 38s ago
     Docs: https://www.elastic.co/products/beats/packetbeat
 Main PID: 4355 (packetbeat)
    Tasks: 15 (limit: 4915)
   CGroup: /system.slice/packetbeat.service
           └─4355 /usr/share/packetbeat/bin/packetbeat -e -c /etc/packetbeat/packetbeat.yml -path.ho

上面显示我们的 packetbeat 正在运行正常。

这个时候打开我们的 Kibana，并选择 Dashboard:

点击上面的 [Packetbeat] Flow ECS：

如果你已经看见上面的一些数据，则表明我们的 Packetbeat 已经是安装正确的。

参考：

【1】Packetbeat quick start: installation and configuration | Packetbeat Reference [8.2] | Elastic

博客
Elastic：如何成为一名 Elastic 认证工程师，Elastic 认证分析师及 Elastic 认证可观测性工程师
10-28 2万+
Elasticsearch 无疑是是目前世界上最为流行的大数据搜索引擎。根据 DB - Engines 的统计，Elasticsearch 雄踞排行榜第一名，并且市场还在不断地扩大：能够成为一名 Elastic 认证工程师也是很多开发者的梦想。这个代表了 Elastic 的最高认证，在业界也得到了很高的认知度。得到认证的工程师，必须除了具有丰富的 Elastic Stack 知识，而且必须有丰富的操作及有效的解决问题的能力。拥有这个认证证书，也代表了个人及公司的荣誉。针对个人的好处是，你可以..
博客
Elastic：开发者上手指南
02-25 16万+
你们好，我是Elastic的刘晓国。如果大家想开始学习Elastic的话，那么这里将是你理想的学习园地。在我的博客几乎涵盖了你想学习的许多方面。在这里，我来讲述一下作为一个菜鸟该如何阅读我的这些博客文章。我们可以按照如下的步骤来学习：1)Elasticsearch简介：对Elasticsearch做了一个简单的介绍2)Elasticsearch中的一些重要概念:cluster,n..........................................................
博客
Elastic：培训视频 - ​在生产环境中配置 Fleet Server 和 Elastic Agent 之间的安全
01-06 1万+
在这篇文章中，我将会把我写的有些内容录制成视频，供大家参考。希望对大家有所帮助。优酷的视频频道地址在这里。Elastic 简介及Elastic Stack 安装：优酷，腾讯 Elastic Stack docker 部署：优酷，腾讯 Elasticsearch中的一些重要概念（Cluster/Shards/Replica/Document/Type/Index）：优酷，腾讯 开始使用El...............
博客
Elasticsearch 简介
08-08 17万+
Elasticsearch是一个非常强大的搜索引擎。它目前被广泛地使用于各个IT公司。Elasticsearch是由Elastic公司创建并开源维护的。它的开源代码位于https://github.com/elastic/elasticsearch。同时，Elastic公司也拥有Logstash及Kibana开源项目。这个三个开源项目组合在一起，就形成了 ELK软件栈。他们三个共同形成了一个强大的...
博客
使用 LangGraph 和 Elasticsearch 构建强大的 RAG 工作流
04-26 807
在这篇博客中，我们将向你展示如何配置和自定义 LangGraph Retrieval Agent 模板与 Elasticsearch，以构建一个强大的 RAG 工作流，实现高效的数据检索和由 AI 驱动的响应。本博客重点介绍如何使用 LangGraph Studio 和 LangGraph CLI 运行并自定义 LangChain Retrieval Agent Template。该模板为构建检索增强生成（RAG）应用提供了框架，并支持多种检索后端，如 Elasticsearch。
博客
更智能的银行体验：生成式 AI 与语义搜索的实际应用
04-25 675
了解 Elastic 与生成式 AI 如何正在改变银行业务，从个性化服务到具备上下文感知的搜索以及更智能的客户支持。在上，Elastic 的首席解决方案架构师 Tim Brophy 解释了。该会议讨论了四个关键挑战：让交易搜索真正为客户服务提升聊天机器人交互，利用实时知识提供个性化客户推荐提高运营效率Brophy 解释道：“生成式 AI 不仅仅是提高效率，它还代表着创新和更深层次的客户互动。
博客
检测特权访问活动：一个新的 Kibana 集成
04-25 935
特权访问活动是指由具有高权限的用户（如系统管理员或服务账户）执行的操作。这些用户可以修改系统配置、访问敏感数据、管理用户角色、安装软件、更改安全策略，并直接与关键控制系统进行交互。传统的安全措施依赖于预定义的规则和特征签名，但这些方法往往无法检测出新型或复杂的攻击模式。由于特权用户会执行各种管理任务，区分正常操作和可疑行为是一个挑战。特权访问检测包通过机器学习建立用户和实体的行为基线，从而检测出偏离正常使用模式的异常行为。目前，该包主要关注来自合法账户的异常特权访问活动，例如基于管理员的事件和命令。
博客
使用 AutoGen 与 Elasticsearch
04-25 1363
学习如何使用 AutoGen 为你的 agent 创建一个 Elasticsearch 工具。Elasticsearch 拥有与行业领先的生成式 AI 工具和提供商的原生集成。查看我们的网络研讨会，了解，或使用构建可投入生产的应用。为了为你的使用场景构建最佳搜索解决方案，现在就开始，或者在上试用 Elastic。AutoGen 是微软的一个框架，用于构建可以与人类互动或自主行动的应用程序。它提供了一个完整的生态系统，具备不同层级的抽象，取决于你需要自定义的程度。
博客
如何将 Better Binary Quantization （ BBQ ）应用到你的用例中，以及为什么你应该这样做
04-24 1261
探讨为什么你会在你的用例中实现 Better Binary Quantization （ BBQ ）以及如何实现它。通过这个，你可以亲自尝试向量搜索。你现在可以开始，或者在上试用 Elastic。向量搜索为实现文本语义搜索或图像、视频、音频的相似度搜索提供了基础。使用向量搜索时，向量是数据的数学表示，通常体积庞大且处理缓慢。
博客
Elasticsearch：生成式 AI 热潮 - 为 IT 领导者揭穿 4 个神话
04-23 869
不可否认的是：生成式 AI（- GenAI）正在重塑 IT 的未来（甚至可能是世界的未来）。根据 Forrester 2024 年的脉搏调查，67% 的 AI 决策者表示，他们的组织计划在未来一年增加对生成式 AI 的投资。那么，什么只是生成式 AI 的炒作，什么又值得长期投资呢？IT 和商业领导者如何区分事实与虚构？这种热潮带来了兴奋和怀疑。人们对生成式 AI 如何收集数据、其安全措施以及其对 IT 和商业运营的影响提出了许多问题。
博客
Elasticsearch 堆内存使用情况和 JVM 垃圾回收
04-23 1041
探索 Elasticsearch 堆内存使用情况和 JVM 垃圾回收，包括最佳实践以及在堆内存使用过高或 JVM 性能不佳时的解决方法。堆内存大小是分配给 Elasticsearch 节点中 Java 虚拟机的 RAM 数量。从 7.11 版本开始，Elasticsearch 默认会根据节点的角色和总内存自动设置 JVM 堆内存大小。对于大多数生产环境，推荐使用默认配置。然而，如果你希望手动设置 JVM 堆内存大小，一般规则是将 -Xms 和 -Xmx 设置为相同的值，。
博客
当你的银行了解你：生成式 AI 如何改变金融服务
04-23 616
了解生成式 AI 如何帮助银行从僵化的系统转向对话式、直观的客户体验，同时提升速度、洞察力和欺诈检测能力。“我上周在 Wendy's 吃了两次吗？”这是我们在翻阅银行对账单时可能会问自己的问题。如今，多亏了生成式 AI（GenAI），银行能够更有效地理解并回答这种人类提问，理解问题背后的意图，并快速给出答案。在最近的上，Elastic 的解决方案架构高级总监 Steve Mayzak 与主持人 Emma Crossby 一起。
博客
使用 LlamaIndex Workflows 与 Elasticsearch
04-22 1233
在本文中，你将学习如何利用 LlamaIndex Workflows 与 Elasticsearch 快速构建一个使用 LLM 的自过滤搜索应用程序。LlamaIndex Workflows 提出了一种不同的方式来处理将任务拆分给不同 agent 的问题，它引入了一个。这种架构相比于基于 DAG（Directed Acyclic Graph - 有向无环图）的方法，例如 LangGraph，简化了设计。如果你想进一步了解关于的内容，推荐你阅读这篇文章。
博客
Elasticsearch：使用 ES|QL 进行搜索和过滤
04-19 1407
将多值字段转换为字符串通配符模式匹配使用全文本功能，将更新 _score 元数据字段条件加权加权最近内容组合评分基于自定义评分进行过滤。
博客
Kibana 警报：突破可扩展性限制，解锁 50 倍规模
04-19 934
Kibana 警报现在的扩展能力提升了 50 倍，每分钟可处理多达 160,000 条规则。了解任务管理器中的关键创新、更智能的资源分配以及性能优化如何帮助我们突破限制，实现显著的效率提升。过去几年里，Kibana 警报一直是许多大型组织首选的监控解决方案。随着使用率的持续增长，用户为监控其系统而创建的警报规则数量也不断增加。越来越多的组织在大规模场景中依赖 Kibana 进行警报，我们也看到了提升效率和保障未来工作负载性能的机会。
博客
如何增加 Elasticsearch 中的 primary shard 数量
04-18 1196
如果你想增加已有索引的 primary shard 数量，需要将设置和映射重新创建到一个新索引中。实现这一点有两种主要方法：reindex API 和 split API。在使用这两种方法之前，必须停止当前的索引操作。想获得 Elastic 认证吗？了解下一期Elasticsearch 工程师培训的时间！Elasticsearch 拥有许多新特性，帮助你为你的用例构建最佳的搜索解决方案。深入了解我们的示例笔记本，开始免费的云试用，或现在就尝试在本地机器上使用 Elastic。
博客
Elastic 9.0/8.18：BBQ、EDOT 和 LLM 可观察性、攻击发现、自动导入以及 ES|QL JOIN
04-17 1509
今天，我们很高兴地宣布 Elastic 9.0 和 8.18 的正式发布！​Elastic 9.0 基于 Lucene 10.0，标志着 Elasticsearch、Elastic 搜索 AI 平台以及其核心解决方案 Elastic Observability 和 Elastic Security 的一次重大升级。此版本带来了更快的性能和更高的效率，得益于 Lucene 10.0 的内置改进，如更好的并行处理、更智能的索引和硬件优化。这些增强功能对资源优化和 Elastic 9.0 的功能产生了显著影响。
博客
ES|QL，知道吗，专为搜索而生 —— 推出评分和语义搜索
04-17 968
在 8.17 版本中，我们增加了使用全文文本函数过滤文档的功能。如果你不熟悉 ES|QL 中的全文文本过滤，我们建议阅读我们关于它的原创博客文章。在 8.18 和 9.0 中，我们引入了对评分的支持，使得能够根据相关性排序返回文档。要访问每个文档的得分，只需在 ES|QL 查询中添加元数据_score"query": {"bool": {"match": {},"match": {全文本搜索函数，如 match、qstr 和 kql 只能在 WHERE 条件中使用，并且是唯一能影响得分的函数。
博客
Elasticsearch：ES|QL Joins 来了！是的，Joins！- 8.18
04-17 1074
Elasticsearch 8.18 包含了 ES|QL 的 LOOKUP JOIN 命令，这是我们第一个 SQL 风格的 JOIN。Elasticsearch 8.18 包含了我们第一个 SQL 风格的 JOIN：ES|QL 的，目前已在 Tech Preview 中提供，支持通过可轻松更新的 lookup 数据集进行数据关联与增强。需要把主机和资产信息添加到你的事件中？没问题。想检查哪些 IP 地址或 URL 出现在威胁情报列表中？当然可以！
博客
Elasticsearch 8.18 中提供了原生连接 (Native Joins)
04-16 942
探索 LOOKUP JOIN，这是一条在 Elasticsearch 8.18 的技术预览中提供的新 ES|QL 命令。很高兴宣布 LOOKUP JOIN —— 这是一条在 Elasticsearch 8.18 的技术预览中提供的新 ES|QL 命令，旨在执行左以进行数据增强。通过 ES|QL，用户可以根据定义如何在 Elasticsearch 中本地配对文档的标准，将来自一个索引的文档与来自另一个索引的文档查询和组合。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值