# Windowsアプリケーションログをlogstashで解析する方法

**URL:** <https://discuss.elastic.co/t/windows-logstash/278527>\
**Category:** 日本語による質問・議論はこちら\
**Created:** [July 13, 2021, 11:18am UTC](https://discuss.elastic.co/t/windows-logstash/278527 "2021-07-13T11:18:10Z")\
**Posts on this page:** 2\
**Page:** 1

<div class="post-metadata">

**Author:** ![t-nakata](https://avatars.discourse-cdn.com/v4/letter/t/8491ac/32.png) [@t-nakata](https://discuss.elastic.co/u/t-nakata)\
**Post date:** [July 13, 2021, 11:18am UTC](https://discuss.elastic.co/t/windows-logstash/278527/1 "2021-07-13T11:18:10Z")

</div>

以下のようなWindowsアプリケーションログをlogstashで1つのドキュメントとして取り込みたいです。

```auto
ログの名前: Application
ソース: Microsoft-Windows-Security-SPP
日付: 2021/06/28 12:53:18
イベント ID: 16394
タスクのカテゴリ: なし
レベル: 情報
キーワード: クラシック
ユーザー: N/A
コンピューター: XXXXXXXXXX
説明:
オフライン ダウンレベルの移行が成功しました。
イベント XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-SPP" Guid="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}" EventSourceName="Software Protection Platform Service" />
    <EventID Qualifiers="49152">16394</EventID>
    <Version>0</Version>
    <Level>4</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x80000000000000</Keywords>
    <TimeCreated SystemTime="2021-06-28T03:53:18.1272178Z" />
    <EventRecordID>11820</EventRecordID>
    <Correlation />
    <Execution ProcessID="0" ThreadID="0" />
    <Channel>Application</Channel>
    <Computer>XXXXXXXX</Computer>
    <Security />
  </System>
  <EventData>
  </EventData>
</Event>

```

XML部分はフィールド名をタグの名前、上方のXML以外の部分は、「ログの名前」「ソース」等、1行ごとにフィールド名をつけて「Application」「Microsoft-Windows-Security-SPP」といった値を設定したいです。  
このようなフォーマットをどのようにlogstashで解析したら良いか分からず、良い方法あればご教示頂けないでしょうか

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [August 10, 2021, 11:18am UTC](https://discuss.elastic.co/t/windows-logstash/278527/2 "2021-08-10T11:18:51Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.