利用elk系统记录分析所有服务器ssh登录信息

行云流水

2022-05-26 / 1 评论 / 641 阅读 / 正在检测是否收录...

05/26

前言

前几天部署了elk日志分析系统，就想將所有服务器的登录日志统一分析。边使用边熟悉各个模块的配置

filebeat

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /log/secure
  fields:
    log_type: secure

output.logstash:
  hosts: ["49.12.10.10:5044"]
  enabled: true
  worker: 1
  compression_level: 3
  loadbalance: true

docker-compose up -d

logstash

input {
  beats {
    port => 5044
  }
}

filter {
    grok {
      match => { "message" => ".*sshd\[\d+\]: %{WORD:status} .* %{USER:username} from.*%{IP:clientip}.*" }
    }
}

output {
 if ([status] == "Accepted" or [status] == "Failed") {
  elasticsearch {
   hosts => [ "es-master:9200" ]
   index => "secure-%{+YYYY.MM.dd}"
   }
  stdout {
   codec => rubydebug
  }
 }
}