Flume采集rsyslog发送的audit日志

客户端splunk02上配置

[root@splunk02 ~]# vim /etc/rsyslog.conf

在13行添加

#### 采集linux audit日志 ###############

$ModLoadimfile

 $InputFileName/var/log/audit/audit.log

 $InputFileTagtag_audit_log:

 $InputFileStateFile audit_log

 $InputFileSeverity info

 $InputFileFacility local6

 $InputRunFileMonitor

 #########################################

在58行添加

local6.* @192.168.1.159:514

重启rsyslog服务

[root@splunk02 ~]# service rsyslog restart

Flume配置如 flume采集rsyslog日志中的syslog-es.conf文件。

在kibana中显示如下图

此时就可以收到linux audit日志了。