通过ELK接收并处理syslog和rsyslog日志，满足等保中对日志离线且保存半年的要求，也能对大量日志进行分析处理。

依赖：JDK，ELK，其中logstash需要syslog模块。

具体操作方法如下：

1，修改logstash配置文件，启用syslog功能，并输出到elasticsearch，配置如下：

input{

syslog {

type => “rsyslog”

port => 514

}

}

filter{

}

output{

elasticsearch {

hosts => [“127.0.0.1:9200”]

index => “rsyslog-%{+YYYY.MM.dd}”

}

}

2，重启logstash。需确认udp 514端口是否空闲，如非空闲，logstash将无法启动。

3，kibana中增加Index Pattens，Index name or patten定义为syslog，此处需与第一步中output中的index名称相同，可使用通配符。

4，回到discover中，若有日志产生，将会在此输出日志内容。

查看elasticsearch，可发现以当天日期命名的document。

 

本文链接地址: https://danteng.org/how-to-input-and-process-syslog-by-elk/