使用ELK接收处理syslog

通过ELK接收并处理syslog和rsyslog日志,满足等保中对日志离线且保存半年的要求,也能对大量日志进行分析处理。

依赖:JDK,ELK,其中logstash需要syslog模块。

具体操作方法如下:

1,修改logstash配置文件,启用syslog功能,并输出到elasticsearch,配置如下:

input{

syslog {

type => “rsyslog”

port => 514

}

}

filter{

}

output{

elasticsearch {

hosts => [“127.0.0.1:9200”]

index => “rsyslog-%{+YYYY.MM.dd}”

}

}

2,重启logstash。需确认udp 514端口是否空闲,如非空闲,logstash将无法启动。

3,kibana中增加Index Pattens,Index name or patten定义为syslog,此处需与第一步中output中的index名称相同,可使用通配符。

4,回到discover中,若有日志产生,将会在此输出日志内容。

查看elasticsearch,可发现以当天日期命名的document。

 

本文链接地址: https://danteng.org/how-to-input-and-process-syslog-by-elk/