使用ELK接收处理syslog

ELK 23333 1900℃ 0评论

通过ELK接收并处理syslog和rsyslog日志,满足等保中对日志离线且保存半年的要求,也能对大量日志进行分析处理。

依赖:JDK,ELK,其中logstash需要syslog模块。

具体操作方法如下:

1,修改logstash配置文件,启用syslog功能,并输出到elasticsearch,配置如下:

input{

syslog {

type => “rsyslog”

port => 514

}

}

filter{

}

output{

elasticsearch {

hosts => [“127.0.0.1:9200”]

index => “rsyslog-%{+YYYY.MM.dd}”

}

}

2,重启logstash。需确认udp 514端口是否空闲,如非空闲,logstash将无法启动。

3,kibana中增加Index Pattens,Index name or patten定义为syslog,此处需与第一步中output中的index名称相同,可使用通配符。

4,回到discover中,若有日志产生,将会在此输出日志内容。

查看elasticsearch,可发现以当天日期命名的document。

 

本文链接地址: 使用ELK接收处理syslog

转载请注明:蛋疼实验室 » 使用ELK接收处理syslog

喜欢 (1)
发表我的评论
取消评论

*

表情 签到

Hi,请填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址