正文
elk收集windows日志
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
参考网站：https://www.secpulse.com/archives/55636.html
https://blog.csdn.net/qq_38094271/article/details/80195599 （）
https://blog.csdn.net/vip100549/article/details/79592409 （关闭powershell安全防护进行安装，否则会报错） PS C:\Program Files\Winlogbeat> set-executionpolicy remotesigned
打开windowsPowerShell进行安装，
1、下载软件 winlogbeat： https://artifacts.elastic.co/downloads/beats/winlogbeat/winlogbeat-6.2.4-windows-x86_64.zip
2、修改里面的内容，其余的全部注释掉，下面的IP为elasticsearch的服务器地址。
winlogbeat.event_logs:
- name: Application
ignore_older: 72h
- name: Security
- name: System
output.logstash:
# The Logstash hosts
hosts: ["192.11.33.18:5044"]
3、然后运行安装命令，
4、然后再打开elasticsearch的ip服务地址，192.11.33.18:5044，进行查看，就可看到windows的日志。
