# Настройка winlogbeat для контроллеров домена

**URL:** <https://discuss.elastic.co/t/winlogbeat/294112>\
**Category:** Вопросы на русском языке\
**Created:** [January 12, 2022, 5:42am UTC](https://discuss.elastic.co/t/winlogbeat/294112 "2022-01-12T05:42:04Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![holpa](https://avatars.discourse-cdn.com/v4/letter/h/9de0a6/32.png) [@holpa](https://discuss.elastic.co/u/holpa)\
**Post date:** [January 12, 2022, 5:42am UTC](https://discuss.elastic.co/t/winlogbeat/294112/1 "2022-01-12T05:42:04Z")

</div>

Привет. Подскажите как правильно настроить. Есть сервер srvlog, он собирает все логи с контроллеров домена (forward event).  
Как настроить WinLogbeat для отправки логов, полученных этим сервером?  
Моя конфигурация сейчас:  
winlogbeat.event\_logs:

- имя: Приложение  
ignore\_older: 72h
- имя: Безопасность
- имя: Система

Теги не указаны

output.logstash:  
хосты: ["192.168.1.4:5044"]

logging.level: info  
logging.to\_files: true  
logging.files:  
путь: C:/Program Files/Winlogbeat/logs  
name: winlogbeat  
keepfiles: 7

Мне нужно получать события для авторизации и доступа пользователей AD

---

<div class="post-metadata">

**Author:** ![isebolit86](https://avatars.discourse-cdn.com/v4/letter/i/a9adbd/32.png) [@isebolit86](https://discuss.elastic.co/u/isebolit86)\
**Post date:** [January 28, 2022, 12:16pm UTC](https://discuss.elastic.co/t/winlogbeat/294112/2 "2022-01-28T12:16:55Z")

</div>

Прежде всего, если отправка событий в Logstash не идет, нужно посмотреть логи самого winlogbeat. В Вашем случае, логи можно найти тут: C:/Program Files/Winlogbeat/logs  
Если ошибок нет, то нужно смотреть Logstash.  
Если ошибки есть, то посмотреть на что ругается Winlogbeat.  
Как пример можно использовать код ниже, единственная разница, что там использовались собственные журналы событий.

```auto
winlogbeat.event_logs:
  - name: Account Managment
  - name: Authentication
  - name: Explicit Credentials
  - name: Log Deletion Security
  - name: Log Deletion System
  - name: Registry
  - name: Services
  - name: Shares
  - name: USB

  # The Logstash hosts
  hosts: ["ip_addr:5044"]

```

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [February 25, 2022, 12:17pm UTC](https://discuss.elastic.co/t/winlogbeat/294112/3 "2022-02-25T12:17:23Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.