要將CentOS的Syslog日志集成到ELK（Elasticsearch、Logstash和Kibana）堆棧中，您需要執行以下步驟：
安裝和配置Filebeat： Filebeat是一個輕量級的日志收集器，用于將日志文件發送到Logstash或Elasticsearch。
a. 下載并安裝Filebeat：
sudo wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.15.0-amd64.deb
sudo dpkg -i filebeat-7.15.0-amd64.deb
b. 配置Filebeat以讀取Syslog日志：
編輯/etc/filebeat/filebeat.yml文件，添加以下內容：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/messages
- /var/log/secure
- /var/log/maillog
filebeat.inputs.filebeat.ignored_files: ['\.log$']
filebeat.inputs.filebeat.close_inactive: 1h
output.logstash:
hosts: ["your_logstash_server_ip:5044"]
將your_logstash_server_ip替換為您的Logstash服務器的IP地址。
安裝和配置Logstash： Logstash是一個數據處理管道，用于收集、處理和轉發日志事件。
a. 下載并安裝Logstash：
sudo wget https://artifacts.elastic.co/downloads/logstash/logstash-7.15.0-amd64.deb
sudo dpkg -i logstash-7.15.0-amd64.deb
b. 創建一個Logstash配置文件，例如/etc/logstash/conf.d/syslog.conf，并添加以下內容：
input {
beats {
port => 5044
}
}
filter {
# 根據需要添加過濾器
}
output {
elasticsearch {
hosts => ["your_elasticsearch_server_ip:9200"]
index => "syslog-%{+YYYY.MM.dd}"
}
}
將your_elasticsearch_server_ip替換為您的Elasticsearch服務器的IP地址。
c. 啟動Logstash：
sudo systemctl start logstash
sudo systemctl enable logstash
安裝和配置Kibana： Kibana是一個可視化工具，用于查看和分析Elasticsearch中的日志數據。
a. 下載并安裝Kibana：
sudo wget https://artifacts.elastic.co/downloads/kibana/kibana-7.15.0-amd64.deb
sudo dpkg -i kibana-7.15.0-amd64.deb
b. 編輯/etc/kibana/kibana.yml文件，添加以下內容：
server.host: "0.0.0.0"
elasticsearch.hosts: ["http://your_elasticsearch_server_ip:9200"]
c. 啟動Kibana：
sudo systemctl start kibana
sudo systemctl enable kibana
現在，您的CentOS Syslog日志應該已經集成到ELK堆棧中。您可以通過訪問Kibana Web界面（通常是http://your_kibana_server_ip:5601）來查看和分析日志數據。
