Filebeat 是一個輕量級的日志文件收集器，用于將日志數據發送到 Elasticsearch 或 Logstash 進行存儲和分析。要利用 Filebeat 監控 Linux 系統日志，請按照以下步驟操作：
安裝 Filebeat： 訪問 Elastic 官方網站（https://www.elastic.co/downloads/beats/filebeat）下載適用于您的 Linux 發行版的 Filebeat 版本。然后按照官方文檔的說明進行安裝。
配置 Filebeat：
安裝完成后，打開 Filebeat 的配置文件 filebeat.yml。默認情況下，該文件位于 /etc/filebeat/filebeat.yml（Debian/Ubuntu）或 /etc/filebeat/filebeat.yml（RHEL/CentOS）。
設置日志路徑：
在 filebeat.yml 文件中，找到 filebeat.inputs 部分，添加或修改 paths 屬性以指定要監控的日志文件路徑。例如，要監控 /var/log/syslog 和 /var/log/auth.log，可以這樣設置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/syslog
- /var/log/auth.log
（可選）設置日志文件類型：
如果您要監控的日志文件具有特定的格式，可以在 filebeat.inputs 部分為相應的輸入添加 processors 屬性。例如，要解析 JSON 格式的日志，可以使用以下配置：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/syslog
processors:
- decode_json_fields:
fields: ["message"]
target: ""
設置輸出目標：
在 filebeat.yml 文件中，找到 output.elasticsearch 或 output.logstash 部分，設置 Filebeat 將日志發送到的 Elasticsearch 或 Logstash 服務器的地址。例如，要將日志發送到本地的 Elasticsearch 實例，可以這樣設置：
output.elasticsearch:
hosts: ["localhost:9200"]
啟動 Filebeat：
保存 filebeat.yml 文件后，運行以下命令啟動 Filebeat：
sudo systemctl start filebeat
要使 Filebeat 在系統啟動時自動運行，請執行以下命令：
sudo systemctl enable filebeat
驗證 Filebeat 是否正常工作： 訪問 Elasticsearch 或 Logstash 的管理界面，檢查 Filebeat 是否已成功發送日志數據。
通過以上步驟，您可以使用 Filebeat 監控 Linux 系統日志并將其發送到 Elasticsearch 或 Logstash 進行進一步分析。根據需要，您還可以調整 Filebeat 的配置以滿足特定的監控需求。
