Logsash - 收集强化日志答案

【问题标题】：Logsash - Collecting Fortigate LogsLogsash - 收集强化日志
【发布时间】：2016-11-23 16:12:14
【问题描述】：

我已经让 ELK 从我的所有 Windows 服务器中提取日志，并且运行良好。努力让我的 Fortigate 登录在那里，但我遇到了麻烦。这是我到目前为止所做的：

在 Fortigate 上：

config log syslogd setting
    set status enable
    set server "ip of my logstash server"
    set port 5044
end
config log syslogd filter
    set severity warning
end

在 ELK 服务器的 /etc/logstash/conf.d 下，我添加了一个名为“20-fortigate-filter.conf”的新文件，其内容如下：

filter {
  kv {
    add_tag => ["fortigate"]
  }
}

然后重启了logstash和kibana服务。但是我在任何地方都找不到 Kibana 中的日志。我错过了什么？

【问题讨论】：

如何从 Windows 服务器发送日志？也许这只是您的 logstash 配置中缺少的输入（根据您的信息，可能是 syslog {port => 5044 }）
在 Windows 服务器上使用 winlogbeats。他们都指向 5044 并通过了。
好的。我不知道问题可能是什么。抱歉，我帮不了你更多。

标签： logstash kibana elastic-stack

【解决方案1】：

您还需要指定“field_split”和“value_split”，

试试这个：

kv {
add_tag => ["fortigate"]
value_split => "="
field_split => ","
}

注意：在强化系统日志中启用 csv。

【讨论】：