Winlogbeat의 powershell 이벤트 연동

winlogbeat는 powershell 이벤트 로그 연동을 기본 지원한다. 그런데 데이터가 안 들어옴.

Filebeat: mapper_parsing_exception

시계열 분석 기반이 마련됐으면 분석다운 분석을 위해 나머지 데이터도 성격별로 분리를 해보자.

Filebeat의 processors

filebeat의 system 모듈은 윈도우에서 동작하지 않는다. system 모듈이 처리하는 messages나 secure 로그는 윈도우랑 관계가 없기 때문인 듯. 쓸 데 없이 엄격하네

모듈 처리를 못하니 로그스태시로 보내든가, 직접 처리해야 한다. 로그스태시는 실컷 써봤으니 로그스태시 필터 역할을 하는 filebeat의 processors 옵션을 사용해보자. 다음은 input 설정.

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - d:\test.log