IT运维：使用数据分析平台监控Windows Eventlog

2023-09-15 17:46:50

TIPS：本文鸿鹄版本：2.10.0及以上版本

概述

本文基于《IT运维：利用鸿鹄采集Windows event log数据》（以下简称原文）文章进行了细化与延伸。主要包括细化了安装步骤，增加了仪表板。

鸿鹄端配置

创建数据集与数据源类型

登录鸿鹄提前创建数据集和数据类型，我这里创建的是winlog数据集，下文《安装vector》里配置vector.toml会使用到。如下图：

图片

鸿鹄上开启vector_input，选择从外部数据导入>编辑，选择数据集范围，上图创建的winlog，点击确定。该配置表示会vector会通过20000端口接收数据，并存到指定的数据集winlog。

图片

Windows端配置

windowds端需要先安装Winlogbeat，再安装vector。

●Winlogbeat负责收集windows eventlog

●Vector负责将windows eventlog发送到鸿鹄

安装Winlogbeat

下载winlogbeat

（https://www.elastic.co/cn/downloads/beats/winlogbeat）

图片

将下载后的包解压到C:\，并重名winlogbeat-为winlogbeat

图片

以管理员身份打开PowerShell prompt

图片

图片

（可选）.\install-service-winlogbeat.ps1报错解决

图片

图片

图片

检查服务是否运行

图片

进入安装目录，默认为C:\winlogbeat修改配置文件winlogbeat.yml，将里面的内容都删掉，只保留这部分

图片

图片

图片

TIPS：

winlogbeat可以采集多种Windows event log，例如Application、System和Security等。可以修改其配置文件，减少或增加监控项。配置文件路径如下：

图片

若是修改配置文件后，可以通过如下命令进行测试

图片

图片

Winlogbeat会在winlogbeat.exe进程的启动目录里生成名为data的数据目录，如果想让Winlogbeat重新获取所有event log数据，可以在winlogbeat.exe进程停止运行后删除该目录，再重启即可

安装vector

下载vector

图片

将下载后的包解压到c:\，并重命名为vector（重名的主要目的是命令行好调用）

图片

进入到c:\vector\config目录下，修改vector.toml配置文件

图片

图片

打开powershell，运行vector

图片

图片

此时登录到鸿鹄可以查看到数据已经发送到鸿鹄。登录鸿鹄后查看数据如下：

图片

验证没问题后，配置vector开机自动运行

图片

打开服务，设置为开机自动启动

图片

如果配置错了，删除服务，如果删除后有报错，提示deleteservice failed 1072，注销后重新登录即可

图片

仪表板

我已经创建了windowns event log的数据分析仪表板，并保存为了配置文件，可以直接导入仪表板配置文件（见文末的附件）来创建。如果你的数据集名称和我的不一样，需要将数据集名称进行变更。

仪表盘导入

新建仪表板>选择仪表盘配置文件>浏览后选择你需要导入的仪表盘文件即可

图片

仪表板展示

效果图主要包含两个部分，第一部分是事件概览，第二部分是登录事件的分析。

图片

图片

图片

图片

仪表板文件

Windows Event仪表板.json(18 kB)

（具体文档请加入鸿鹄技术交流群至知识库获取）

Windows事件日志不全解决

现象

如果你发现你进来的数据不全，那是因为winlogbeat会在winlogbeat.exe进程的启动目录里生成名为data的数据目录，这里会生成checkpoint，如果你打断了这个进程，再次运行的时候可能会从下一个checkpoint点开始，也就是说，这时候你的数据就不全了，他会从新的checkpoint读取数据，而不会从你上次打算的checkpoint读取数据。

解决方法

让Winlogbeat重新获取所有event log数据，可以在winlogbeat.exe进程停止运行后删除该目录，再重启即可。方法如下：

先删除YHP上数据集内的数据，避免后面进入数据会出现重复数据

图片

ctrl+c停止vector数据输入

图片

删除data目录

图片

重新运行vector

图片

再次查询，发现数据条目正常了

图片

更多推荐

数据科学的文本技术 Text Technology（IR信息检索、搜索引擎）

一、文章摘要1.内容*IntroductiontoIRandtextprocessing,systemcomponents*Zipf,Heaps,andothertextlaws*Pre-processing:tokenization,normalisation,stemming,stopping.*Indexing:

在IntelliJ IDEA 中安装阿里P3C以及使用指南

在IntelliJIDEA中安装阿里P3C以及使用指南1.关于阿里p3c1.1说明1.2什么是P3C插件1.3p3c的作用是什么2如何在IDEA中安装p3c2.1插件安装2.2插件使用3.参考连接1.关于阿里p3c1.1说明代码规范检查插件P3C，是根据《阿里巴巴java开发手册(黄山版)》转化而成的自动化插件。1.2

Lnmp架构之mysql数据库实战1

1、mysql数据库编译编译成功2、mysql数据库初始化配置数据目录全局文件修改内容生成初始化密码并进行初始化设定3、mysql主从复制什么是mysql的主从复制？MySQL的主从复制是一种常见的数据库复制技术，用于将一个数据库服务器（称为主服务器）上的数据同步到另一个或多个数据库服务器（称为从服务器）上。在主从复制

ElasticSearch

文章目录一、引言1.1海量数据1.2全文检索二、ES概述2.1ES的介绍2.2ES的由来三、ElasticSearch安装3.1安装ES&Kibana3.2安装IK分词器四、ElasticSearch基本操作4.1ES的结构4.1.1索引Index，分片和备份4.1.2类型Type4.1.3文档Doc4.1.4属性Fi

【Linux学习笔记】 - 常用指令学习及其验证（下）

前言：本文延续上一篇文章【Linux学习笔记】-常用指令学习及其验证（上）对常用的指令进行介绍和验证。一、mv指令（1）功能：用来移动文件或者将文件改名（2）语法及验证：语法：mv[选项][源文件或目录][目标文件或目录]当第二个参数（即目标文件或目录）是不存在的文件或目录时，此时源文件或目录只能有一个，它将被重新命名

MVCC：多版本并发控制案例分析（二）

（笔记总结自b站马士兵教育课程）本文主要分析readview的案例。一、简介readview：表示事务进行快照读操作的时候产生的读视图，在该事务进行快照读的那一刻会生成一个系统当前的快照，但是此时的快照不是数据的快照，而是事务相关信息的快照。trx_listreadview生成时刻当前系统活跃的事务idup_limit

华为认证HCIP知识点

文章目录前言考试内容数据通信领域各场景通用核心知识OSPF知识点IS-IS知识点BGP知识点IGMP知识点ICMP知识点数据通信领域路由交换高阶知识总结前言本博客仅做学习笔记，如有侵权，联系后即刻更改科普：考试内容参考网址HCIP认证主要定位于中小型网络的规划、设计、配置与维护，包含网络基础、常见接口与电缆、以太网交换

数据结构学习笔记—— 排序算法总结【ヾ(≧▽≦*)o所有的排序算法考点看这一篇你就懂啦！！！】

目录一、排序算法总结（一）排序算法分类（二）表格比较二、详细分析（最重要考点！！！）（一）稳定性（二）时间复杂度（三）空间复杂度（四）比较次数（五）平均比较次数（六）排序趟数（七）根据规模选择排序算法（八）每趟确定的元素最终位置（九）存储方式的选择一、排序算法总结常用排序算法如下：#mermaid-svg-nyHNG1

驱动开发概念详解

1、什么是驱动能够驱使硬件实现特定功能的软件代码，可以根据驱动程序是否依赖于系统内核将其分为裸机驱动和系统驱动1.1裸机驱动编写的驱动代码中没有进行任何内核相关的API调用，开发者查询资料配置寄存器完成硬件相关控制，不依赖于系统内核，由开发者独立完成，相对而言比较简单。1.2系统驱动系统驱动指的是编写的驱动代码中需要调

了解JVM

一.了解JVM1.1什么是JVMJVM是JavaVirtualMachine（Java虚拟机）的缩写，是一个虚构出来的计算机，是通过在实际的计算机上仿真模拟计算机功能来实现的，JVM屏蔽了与具体操作系统平台相关的信息，Java程序只需生成在Java虚拟机上运行的字节码，就可以在多种平台上不加修改的运行。JVM在执行字节

PyTorch之张量的相关操作大全 -＞（个人学习记录笔记）

文章目录Torch1.张量的创建1.1直接创建1.1.1`torch.tensor`1.1.2`torch.from_numpy(ndarray)`1.2依据数值创建1.2.1`torch.zeros`1.2.2`torch.zeros_like`1.2.3`torch.ones`1.2.4`torch.ones_li

热文推荐
  1. 埃文科技受邀出席“安全堤坝”技术论坛

    2023年9月11日，2023年国家网络安全宣传周河南省活动开幕式暨河南省网络文明大会在开封博物馆开幕。由CCFYOCSEF郑州举办的“聚焦数据交易监管技术，筑牢数据交易‘安全堤坝’”技术论坛在开封市博物馆二楼会议厅举行。埃文科技总经理王永博士与副总经理武可嘉受邀出席，发表演讲并参与思辨讨论。埃文科技王永博士从“数据流

  2. 数据分析思维-分析方法（基础）

    数据分析的基础方法概念理解，其关键在于在业务中锻炼数据分析思维。（将以下基础方法带有好奇心的应用在生活中练习数据分析思维）例如：经典的啤酒与尿布（分析一个爸爸去超市买东西的行为，将尿布和啤酒放在一起）例如：分析夜市上100家店那些营业高、利润经营类型等等主要是养成数据分析的思维，可应用工作、生活日常的方方面面。1.象限

  3. Java学习笔记39——网络编程03

    TCP通信程序TCP通信程序TCP通信原理TCP发送数据的步骤TCP接收数据的步骤TCP通讯程序练习练习1练习2练习3练习4练习5练习6TCP通信程序TCP通信原理TCP通信协议是一种可靠的网络协议，它在通信的两端各建立一个Socket对象，从而在通信的两端形成网络虚拟链路，一旦建立了虚拟的网络链路，两端的程序就可以通

  4. URL与URI小结

    文章目录一、URL是什么？URL的一般形式：二、分类三、URI总结一、URL是什么？每条由Web服务器返回的内容都是和它管理的某个文件相关联的，这些文件中的每一个都有一个唯一的名字，叫做URL（通用资源定位符），是互联网上一种资源的地址。例如：http://www.google.com:80/index.htmlURL

  5. 实训笔记——Spark计算框架

    实训笔记——Spark计算框架Spark计算框架一、Spark的概述二、Spark的特点三、Spark的安装部署（安装部署Spark的ClusterManager-资源调度管理器的）3.1本地安装--无资源管理器3.2Spark的自带独立调度器Standalone3.2.1主从架构的软件3.2.2Master/work

  6. 第26章_瑞萨MCU零基础入门系列教程之独立看门狗定时器-IWDT

    本教程基于韦东山百问网出的DShanMCU-RA6M5开发板进行编写，需要的同学可以在这里获取：https://item.taobao.com/item.htm?id=728461040949配套资料获取：https://renesas-docs.100ask.net瑞萨MCU零基础入门系列教程汇总：https://b

  7. 在springboot下将mybatis升级为mybatis-plus

    在springboot下将mybatis升级为mybatis-plus1.整体描述2.具体步骤2.1更新pom引用2.2更新yml配置2.3更新config配置2.4BaseEntity修改3.程序启动4.总结1.整体描述之前项目工程用的是mybatis，现在需要将其替换为mybatis-plus，mybatis-pl

  8. 电商项目高级篇-01 elasticsearch

    电商项目高级篇-01elasticsearch1、linux下安装elasticsearch和可视化工具2、docker设置虚拟机开机启动和容器开机启动3、elasticsearch的curd3.1、新增、更新3.2、查询1、linux下安装elasticsearch和可视化工具将安装好jdk1.8和tomcat的ce

  9. 使用jmeter+ant+jenkins+git搭建自动化测试平台

    最近正在学习自动化测试，于是随手搭建了一下jmeter+ant+jenkins+git平台。接下来，我会按照jdk，jmeter，ant，jenkins,git这个顺序一步一步的搭建起来。一、jdk。这个就不多说了。我用的是1.8版本的，配环境变量网上一大堆。二、jmeter。官网下载：ApacheJMeter-Dow