ELK收集天融信防火墙日志

---

以下操作建议在测试环境下执行

ELK安装同一台CentOS7服务器，IP 192.168.2.11

一、准备环境

已安装：elasticsearch，kibana，logstash

相关软件下载：Index of /elasticstack/yum/elastic-7.x/ | 清华大学开源软件镜像站 | Tsinghua Open Source Mirror

二、开启syslog服务

在logstash配置中，新建syslog.conf配置文件，内容如下

vim cat /etc/logstash/conf.d/syslog.conf

input {
    syslog {
    type => "system-syslog"
    port => 514
    codec => plain{
       charset=>"GBK"
    }
  }
}

filter {
    if ([message] =~ "192.168.2.10") {
        drop {}
   }
}


output {
    elasticsearch {
     hosts => ["192.168.2.11:9200"]
     index => "syslog-192.168.2.1-%{+YYYY.MM}"
  }
# 调试使用
  stdout { codec => rubydebug }
}

说明：

input 中配置charset=>"GBK" 解决日志信息中文乱码问题

filter 中配置屏蔽日志信息中含有192.168.2.10的信息

三、配置天融信防墙日志设置

四、测试syslog服务

执行如下命令前需先停止logstash服务

systemctl stop logstash

/usr/share/logstash/bin/logstash --path.settings /etc/logstash/ -f /etc/logstash/conf.d/syslog.conf --config.reload.automatic

有日志输出表示配置成功

五、配置kibana索引

访问kibana地址 http://192.168.1.11:5601