ELK8之Winlogbeat收集Windows系统日志

ELK8之Winlogbeat收集Windows系统日志

ELK8部署记录：

ELK-8.14.3日志服务器部署_elk 8.14.3-CSDN博客

一.下载Winlogbeat并上传至服务器，下载链接：

https://artifacts.elastic.co/downloads/beats/winlogbeat/winlogbeat-8.14.3-windows-x86_64.zip

解压后复制到C盘，解压后路径为C:\ winlogbeat

二.修改winlogbeat.yml，可参考同路径下的winlogbeat.reference.yml进行修改。

（1）日志类别：

ignore_older:72h                        //忽略72小时（即3天）以前的旧日志。

level: critical, error, warning        //日志等级，因Security日志较多且大部分都是信息级别（基本上每秒生成5个以上），此处设置为收集危险、错误、告警等日志

（2）日志输出：

配置Elasticsearch Output时如需自定义index，该index可以是服务器名或IP地址，则同时需要关闭默认启用的index模板。

注意将setup.template.enabled: false和output.elasticsearch: 对齐。

如果未配置setup.template，则无法启动后续的winlogbeat服务，且进行配置测试时会有如下报错：

在winlogbeat.reference.yml中setup.template的相关说明如下：

（3）配置winlogbeat服务的日志

（4）配置完成后可以用以下命令进行测试

.\winlogbeat.exe test config -c .\winlogbeat.yml -e

三.安装winlogbeat服务

以管理员身份打开xshell（或命令行控制台cmd）

启动powershell工作台：

cd C:\winlogbeat

PowerShell.exe -ExecutionPolicy UnRestricted -File .\install-service-winlogbeat.ps1

如果后续想卸载，则按以下命令：

PowerShell.exe -ExecutionPolicy UnRestricted -File .\uninstall-service-winlogbeat.ps1

四.启动winlogbeat

Start-Service winlogbeat

五.查看elasticsearch-head和kibana