winlogbeat安装和使用

 

官方网：https://www.elastic.co/cn/downloads/beats/winlogbeat

 

外网比较慢，这里提供百度网盘地址

链接: https://pan.baidu.com/s/1PqVH1p3wn2hRB4_Zfspr2g 提取码: hznc

 

 

根据系统情况点击下载最新版本即可。

 

 

2，修改配置

 

解压文件后，对winlogbeat.yml配置进行修改。

 

winlogbeat 主要有三个日志模块，System, Application,Security，可以根据even_id进行过滤，输出自己需要的日志。

 

 

 

接着对输出进行配置，默认是用Elasticsearch作为中转接收。

我这里用的是Logstash，打开其配置，并且注释Elasticsearch配置。

 

 

 

接下来就是测试启动了，可以查看readme.md文件看讲解。https://www.elastic.co/guide/en/beats/winlogbeat/7.6/winlogbeat-installation.html

用管理员的身份启动windows PowerShell，记住不是cmd。

 

输入如下：

.\install-service-winlogbeat.ps1

net start winlogbeat

 

 

同时你可以在任务管理器中看到该进程的状态，并且进行停止重启等操作。