Настройка подключения on Alertix

Подключение с использованием модуля Winlogbeat

Mon, 01 Jan 0001 00:00:00 +0000

Коннектор, собирающий журналы IIS через журнал Windows, обрабатывает данные только в формате по умолчанию. Для этого необходимо настроить сервис для сохранения журналов в стандартный журнал "Microsoft\Windows\IIS-Logging\Logs". И настроить модуль на сбор дополнительного журнала, создав отдельную группу с данной конфигурацией и перенеся в нее агента, установленного на узле с сервисом.

Пример конфигурации:

processors:
- add_host_metadata:
 netinfo.enabled: true

winlogbeat.event_logs:
 - name: Application
 ignore_older: 72h
 - name: Security
 ignore_older: 72h
 - name: System
 ignore_older: 72h
 - name: Microsoft-Windows-Sysmon/Operational
 ignore_older: 72h
 - name: Microsoft-Windows-Windows Firewall With Advanced Security/Firewall
 ignore_older: 72h
 - name: Kaspersky Event Log
 ignore_older: 72h
 - name: Microsoft-Windows-IIS-Logging/Logs
 ignore_older: 72h

output.logstash:
 ssl.enabled: true
 ssl.verification_mode: none

Подключение с использованием модуля Filebeat

Mon, 01 Jan 0001 00:00:00 +0000

Создать группу с включенным модулем Filebeat, в который добавить конфигурацию, читающую журнал сервиса в формате W3C. Журналы сервиса обычно расположены по пути C:\inetpub\logs\LogFiles*\*.log. Коннектор поддерживает два режима сбора данных: полный и по умолчанию. По умолчанию в журнал записывается следующий набор полей:

#Fields: date time s-ip cs-method cs-uri-stem cs-uri-query s-port cs-username c-ip cs(User-Agent) cs(Referer) sc-status sc-substatus sc-win32-status time-taken

Данный набор записывается в журналы сервиса сразу после установки.

При необходимости записывать полный журнал, необходимо провести соответствующую настройку через консоль управления сервисом, включив недостающие поля. При этом журнал будет формироваться со следующим набором: