Suricata通过logstash将告警事件送往ElasticSearch

一.安装logstash,解压即可使用
环境装有jdk1.8
tar -zxvf logstash-6.5.4.tar.gz

二.自己创建logstash运行配置文件
比如创建:config/logstash.conf(记得使用的时候把注释删掉)

input 
{
	file 
	{
		path => ["/usr/local/var/log/suricata/eve.json"]	//Suricata告警事件文件路径
		codec =>  "json"
		type => "SuricataAlert"
	}
}
output
{
	elasticsearch 
	{
    	hosts => ["10.141.14.25:9200"]
		index => "suricata"	//es索引
		codec => "json"
	}
}

三.启动logstash
bin/logstash -f config/logstash.conf