ubuntu filebeat如何監控系統日志

在Ubuntu上使用Filebeat監控系統日志是一個相對簡單的過程。以下是詳細的步驟和配置示例：

安裝Filebeat

首先，確保你的系統是最新的：

sudo apt update && sudo apt upgrade -y

然后，添加Elastic的GPG密鑰并安裝Filebeat：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.lists
sudo apt update && sudo apt install filebeat -y

請注意，上面的命令假設你想要安裝7.x版本的Filebeat。如果你需要其他版本，請相應地更改URL。

配置Filebeat

安裝完成后，Filebeat的默認配置文件通常位于 /etc/filebeat/filebeat.yml。你可以使用文本編輯器（如nano或vim）打開并編輯它：

sudo nano /etc/filebeat/filebeat.yml

以下是一個基本的Filebeat配置示例，用于收集系統日志和Apache日志：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/syslog
    - /var/log/apache2/*.log

output.elasticsearch:
  hosts:
    - "localhost:9200"
  index: "filebeat-%{[agent.version]-%{yyyy.MM.dd}}"

啟動和啟用Filebeat服務

保存并關閉配置文件后，啟動Filebeat服務并設置為開機自啟：

sudo systemctl start filebeat
sudo systemctl enable filebeat

驗證配置

你可以通過查看Filebeat的日志來驗證配置是否正確：

sudo journalctl -u filebeat -f

此外，你還可以登錄到Elasticsearch并檢查索引是否已創建：

curl -X GET "localhost:9200/_cat/indices?v"

你應該能看到類似 filebeat-* 的索引。

高級配置（可選）

根據你的需求，你可能還需要進行一些高級配置，例如：

• 字段映射：自定義字段映射以優化搜索和分析。
• 處理器：使用處理器對日志數據進行預處理。
• 模塊：利用Elastic提供的預構建模塊來簡化配置。

更多詳細信息和高級配置選項，請參考Filebeat官方文檔。