将防火墙日志从 kiwi syslog 服务器转发到 elasticsearch？

Posted 2023-02-22

【中文标题】将防火墙日志从 kiwi syslog 服务器转发到 elasticsearch？

【英文标题】：Forward firewall logs from kiwi syslog server to elasticsearch?

【发布时间】：2021-05-04 04:45:03

【问题描述】：

我已经设置了 Kiwi Syslog 服务器，我在其中收集 Sonicwalls 防火墙流量日志，但我想通过任何 API 访问该日志或想在 elasticsearch 上发送。有什么方法可以设置 logstash 和 elasticsearch 以从我们收集日志的 kiwi syslog 服务器收集防火墙日志？

【参考方案1】：

在我看来你有两个选择

让 Logstash 读取 kiwi syslog 服务器的 txt 文件输出

如果您使用系统日志执行其他操作，然后将它们发送到 Elasticsearch，这将是一个选项

使用 Logstash Syslog 输入并让 Logstash 监听 syslog 事件、处理它们并将它们发送到 Elasticsearch [Info on the Logstash Syslog input can be found here]

这意味着你摆脱了 Kiwi

【讨论】：

谢谢！！ @YouryDW 我会尝试这样做。

【参考方案2】：

你不能直接发送到elasticsearch，但是你可以配置Kiwi将日志转发到另一个地方，如果你配置logstash接收这个日志你就可以把它发送到elasticsearch。

您可以使用udp、tcp 或syslog 输入来执行此操作，主要区别在于使用syslog 输入将有助于解析，但系统日志消息必须遵循指定的格式在RFC 中，我不确定 Kiwi 是否属于这种情况。

要使用syslog 输入，您只需要这样的配置。

input 
    syslog 
        port => "port-to-listen-to"
    


output 
    elasticsearch 
        your-elasticsearch-output
    

【讨论】：

非常感谢@leandrojmp。我正在尝试设置 logstash 以从 kiwi 收集日志。