Filebeat 是一個輕量級的日志收集器，用于將日志數據從多個源發送到如 Elasticsearch 或 Logstash 等后端存儲。在 Debian 上監控文件變化并使用 Filebeat 收集這些變化的步驟如下：
安裝 Filebeat： 首先，你需要在你的 Debian 系統上安裝 Filebeat。你可以使用以下命令來安裝它：
sudo apt update
sudo apt install filebeat
配置 Filebeat：
安裝完成后，你需要配置 Filebeat 來指定它應該監控哪些文件或目錄。Filebeat 的配置文件通常位于 /etc/filebeat/filebeat.yml。
打開配置文件：
sudo nano /etc/filebeat/filebeat.yml
在 filebeat.inputs 部分，你可以添加一個 type 為 log 的輸入，并使用 paths 指定要監控的文件路徑。例如：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/*.log
- /var/log/myapp/*.log
ignore_older: 72h
這個配置會讓 Filebeat 監控 /var/log/*.log 和 /var/log/myapp/*.log 路徑下的所有日志文件，并忽略超過 72 小時的文件。
啟動 Filebeat： 配置完成后，你可以啟動 Filebeat 服務：
sudo systemctl start filebeat
并設置開機自啟：
sudo systemctl enable filebeat
檢查 Filebeat 狀態： 你可以使用以下命令來檢查 Filebeat 的狀態和日志：
sudo systemctl status filebeat
sudo journalctl -u filebeat -f
配置輸出：
在 filebeat.yml 文件中，你還需要配置輸出部分，以指定 Filebeat 應該將日志發送到哪里。例如，如果你想將日志發送到 Elasticsearch，你可以添加以下配置：
output.elasticsearch:
hosts: ["localhost:9200"]
確保你的 Elasticsearch 服務正在運行并可以接受來自 Filebeat 的連接。
驗證日志收集： 在 Filebeat 運行并正確配置后，你應該能夠在你指定的輸出后端（如 Elasticsearch）中看到收集到的日志數據。
請注意，這些步驟可能會根據你的具體需求和環境而有所不同。始終確保你的配置文件符合你的需求，并且在應用任何更改之前備份原始配置文件。
