Auditbeat日志审计方案

【架构】

整个架构分采集器和存储、查询三个部分。

【采集器】

采集器使用Auditbeat进行审计日志采集。

【存储】

采集后的日志直接输出到ElasticSearch，考虑到我们的日志较少切Auditbeat具备重传功能，因此，第一个版本先使用单节点的ElasticSearch进行试运行，实际运行过程中做好ElasticSearch的监控，遇到ElasticSearch故障时可以及时启动。

【查询】

查询使用Kibana，与ElasticSearch对接，进行日志分析和监控。

【配置管理】

通过Ansible来管理Auditbeat，Auditbeat安装在各个主机上，如果有版本升级或者审计规则修改一般是大规模批量升级，通过Ansible可以很方便的管理批量的主机升级，配合Auditbeat的动态读取审计配置可以很方便的进行审计规则的调整，不需要重启Auditbeat。

【进化版】

【安装部署】

【安装ElasticSearch】

版本：elasticsearch-7.9.2

安装环境：JDK1.8

【安装步骤】

1. 下载elasticsearch-7.9.2-linux-x86_64.tar.gz安装包

下载地址：

https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-7.9.2-linux-x86_64.tar.gz

1. 解压到安装目录，修改config/elasticsearch.yml，配置如下

cluster.name: es-audit

1. 启动elasticsearch

  ./bin/elasticsearch -d

说明：本次为单机部署，只设置好集群名称，为后续的集群扩容做准备。

【路径说明】

logs：日志存放路径

data：数据存