MENU

PowerShellでElastic Beats設定ファイルを編集しWindowsイベントログをElasticsearchに送る方法

PowerShell

PowerShellを利用してElastic Beatsの設定を編集し、WindowsイベントログをElasticsearchに送信する方法を詳しく解説します。本記事では、Elastic BeatsとWindowsイベントログの基本知識から、設定ファイルの編集手順、送信データの検証までを網羅的に説明します。この手法を活用することで、ログ管理の効率化やシステム監視の精度向上が期待できます。これからPowerShellを活用してログ収集を自動化したい方に最適な内容となっています。

目次

Elastic BeatsとWindowsイベントログの概要


Elastic Beatsは、軽量なデータシッパーで、システムやアプリケーションのログやメトリクスを収集し、ElasticsearchやLogstashに送信するために使用されます。Windows環境では、特にWindowsイベントログの収集が重要であり、システムの正常性やセキュリティイベントの監視に役立ちます。

Elastic Beatsの役割


Elastic Beatsは、以下のような特徴を持ちます：

  • 軽量性：リソース消費を抑えながら動作するため、システムに負担をかけません。
  • 柔軟性：モジュール構成により、ログ収集対象を簡単にカスタマイズ可能です。
  • 多用途性：Filebeat、Metricbeat、Winlogbeatなど、用途に応じた多様な種類があります。

Windowsイベントログの重要性


Windowsイベントログは、以下のような情報を記録します：

  • システムイベント：ハードウェアやOSのエラー、アップデート情報。
  • セキュリティイベント：ログオン履歴、認証失敗などの監視に必要な情報。
  • アプリケーションイベント：特定アプリケーションのエラーや警告。

これらのログは、システムの健全性を維持し、セキュリティインシデントの分析に役立つ重要なデータです。

Elastic Beatsを使用するメリット


Elastic Beatsを使用することで、Windowsイベントログをリアルタイムで収集・送信し、Elasticsearchで統合的なログ管理が可能になります。さらに、Kibanaを用いることで、視覚的に分析することができ、迅速な意思決定を支援します。

このように、Elastic BeatsとWindowsイベントログは、ログ管理とシステム監視の基盤となる重要な要素です。

必要な準備と前提条件


PowerShellを用いてElastic Beatsの設定を編集し、WindowsイベントログをElasticsearchに送信するためには、いくつかの準備と前提条件を満たす必要があります。以下に具体的なステップを説明します。

1. Elastic Beatsのインストール


Elastic Beatsを使用するには、公式ウェブサイトから適切なバージョンをダウンロードし、インストールする必要があります。特にWindowsイベントログの収集にはWinlogbeatを使用します。

  1. Elastic公式サイトからWinlogbeatをダウンロードします。
  2. ダウンロードしたZIPファイルを解凍し、適切なディレクトリに配置します。例: C:\Program Files\Winlogbeat。
  3. 解凍後、winlogbeat.exeを確認します。

2. Elasticsearchの環境準備


Windowsイベントログを送信する対象となるElasticsearchが稼働している必要があります。以下を確認してください：

  1. Elasticsearchが正しくインストール・起動していること。
  2. Elasticsearchの接続URLと認証情報（ユーザー名・パスワード）を把握していること。
  3. 必要に応じて、Elasticsearchの構成ファイルでリモート接続が許可されていること。

3. PowerShellのセットアップ


PowerShellを利用してWinlogbeatの設定を編集・管理します。以下を準備してください：

  1. 最新バージョンのPowerShellをインストール（推奨: PowerShell 7以上）。
  2. PowerShellのスクリプト実行ポリシーを確認し、必要に応じて変更します：
   Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned
  1. 必要に応じて、管理者権限でPowerShellを実行してください。

4. 必須ツールとファイル


以下のツールとファイルが必要です：

  • Winlogbeat設定ファイル：winlogbeat.yml（Winlogbeatディレクトリ内に存在）。
  • テキストエディタまたはPowerShellスクリプト：設定ファイルの編集に使用。

5. ネットワークとファイアウォールの確認


Elasticsearchとの通信ができるよう、ネットワーク設定を確認します：

  1. Elasticsearchのポート（通常9200）がファイアウォールで許可されていることを確認。
  2. ネットワーク接続が正常であることを確認。

以上の準備を整えることで、Winlogbeatの設定作業をPowerShellで効率的に進めることが可能になります。

Elastic Beats設定ファイルの構造解説


Elastic Beats（ここではWinlogbeat）の設定ファイルは、主にwinlogbeat.ymlというYAML形式のファイルで構成されています。このファイルには、収集するログの種類、送信先の設定、および収集動作に関するオプションが記述されています。以下に基本的な構造を解説します。

1. 基本構造


winlogbeat.ymlファイルの主要セクションは以下の通りです：

  1. Winlogbeat入力設定
    収集するWindowsイベントログの種類を指定します。
  2. 出力設定
    収集したログを送信するElasticsearchやLogstashの設定を記述します。
  3. ログの動作設定
    ログの形式や保存期間、フィルタリング条件などを設定します。

2. 主なセクションの詳細

Winlogbeat入力設定


以下はWindowsイベントログを収集するための設定例です：

winlogbeat.event_logs:
  - name: Application
    ignore_older: 72h
  - name: Security
    level: critical, error, warning
  - name: System
  • name：収集対象のログ名（例：Application、Security、System）。
  • ignore_older：指定した時間より古いイベントを無視する（例：72時間）。
  • level：収集するイベントのレベル（例：critical, error, warning）。

出力設定


ログの送信先を設定します。以下はElasticsearchを送信先とする場合の例です：

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "password"
  • hosts：ElasticsearchのホストURL（複数指定可能）。
  • username / password：認証に必要な情報。

ログの動作設定


収集ログの動作やフォーマットを定義します：

logging.level: info
logging.to_files: true
logging.files:
  path: C:/ProgramData/winlogbeat/logs
  keepfiles: 7
  permissions: 0644
  • logging.level：ログの詳細度（例：info, debug）。
  • logging.to_files：ログをファイルに記録するか。
  • path：ログファイルの保存先ディレクトリ。
  • keepfiles：ログファイルの保持期間。

3. 設定ファイル編集のポイント

  1. YAML形式ではインデント（スペース）が重要。タブを使用せずスペースで記述します。
  2. 設定変更後は、構文エラーをチェックするため、設定ファイルを検証することを推奨します。
  3. 必要に応じて環境ごとに設定ファイルを分け、プロファイルごとに管理すると効率的です。

4. 設定例全体


以下はwinlogbeat.ymlのシンプルな全体例です：

winlogbeat.event_logs:
  - name: Application
  - name: Security
    level: critical, error, warning
  - name: System

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "password"

logging.level: info
logging.to_files: true
logging.files:
  path: C:/ProgramData/winlogbeat/logs
  keepfiles: 7

このように、winlogbeat.ymlは柔軟な設定が可能で、用途に応じたログ収集を実現します。

PowerShellを用いた設定ファイルの更新方法


PowerShellを使用すれば、Winlogbeatの設定ファイルwinlogbeat.ymlを効率的に編集できます。以下では、設定ファイルをPowerShellで更新する具体的な手順を説明します。

1. PowerShellを使ったファイルのバックアップ


設定を変更する前に、元のファイルをバックアップすることが重要です。以下のコマンドを使用してバックアップを作成します：

Copy-Item -Path "C:\Program Files\Winlogbeat\winlogbeat.yml" `
          -Destination "C:\Program Files\Winlogbeat\winlogbeat_backup.yml" `
          -Force


これにより、誤って設定を変更しても元に戻すことができます。

2. 設定ファイルの編集


PowerShellでは、Set-ContentやAdd-Contentコマンドを使用して設定ファイルを編集します。例えば、イベントログの収集対象を変更する場合は以下のように記述します：

# イベントログのセクションを新規作成または上書き
$winlogbeatConfig = @"
winlogbeat.event_logs:
  - name: Application
  - name: Security
    level: critical, error, warning
  - name: System
output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "password"
"@
Set-Content -Path "C:\Program Files\Winlogbeat\winlogbeat.yml" -Value $winlogbeatConfig
  • $winlogbeatConfig：新しい設定内容を文字列として定義。
  • Set-Content：既存の内容を置き換えます。

3. 特定の値の部分的な更新


特定の設定だけを更新する場合、Get-Contentと正規表現を組み合わせます。以下はoutput.elasticsearch.hostsを変更する例です：

$filePath = "C:\Program Files\Winlogbeat\winlogbeat.yml"
$configContent = Get-Content -Path $filePath

# output.elasticsearch.hostsを新しいホスト値に置き換え
$configContent = $configContent -replace 'hosts: \[.*?\]', 'hosts: ["http://192.168.1.100:9200"]'

# 設定内容をファイルに書き戻し
Set-Content -Path $filePath -Value $configContent

4. 設定ファイルのフォーマットチェック


編集後、YAML構文の整合性を確認します。Elastic公式ツールやスクリプトを利用できますが、PowerShellスクリプトで検証する場合は以下を使用します：

Test-Path "C:\Program Files\Winlogbeat\winlogbeat.yml"


成功すれば、ファイルが存在し正しく保存されていることを確認できます。

5. 設定変更の自動化


複数の設定ファイルを変更する場合、スクリプトを作成して自動化できます。以下はサンプルスクリプトです：

$files = Get-ChildItem -Path "C:\Program Files\Winlogbeat\configs" -Filter "*.yml"

foreach ($file in $files) {
    $content = Get-Content -Path $file.FullName
    $content = $content -replace 'hosts: \[.*?\]', 'hosts: ["http://192.168.1.100:9200"]'
    Set-Content -Path $file.FullName -Value $content
}


これにより、複数のYAML設定ファイルを一括で更新可能です。

6. 設定ファイルの再読み込み


編集した設定ファイルをWinlogbeatが認識するようにするには、以下のコマンドでWinlogbeatを再起動します：

Stop-Service -Name winlogbeat
Start-Service -Name winlogbeat

PowerShellを活用すれば、手作業を減らし効率的に設定を変更できます。

設定内容の検証とElastic Beatsの再起動方法


編集したwinlogbeat.ymlファイルが正しく設定されているか検証し、Winlogbeatを再起動する手順を以下に説明します。

1. 設定内容の検証


Winlogbeatには設定ファイルを検証するための組み込みツールが用意されています。このツールを使用することで、構文エラーや設定ミスを未然に防ぐことができます。

コマンドで検証


以下のコマンドを実行して、設定ファイルが正しいかを検証します：

cd "C:\Program Files\Winlogbeat"
.\winlogbeat.exe test config
  • 成功時の出力例:
  Config OK

このメッセージが表示されれば、構文に問題がありません。

  • エラー時の出力例:
  Exiting: error loading config file: yaml: line 12: did not find expected key

この場合、エラーの内容を確認し、該当行を修正してください。

2. Elastic Beatsの動作確認


設定ファイルに問題がない場合、Winlogbeatを起動して動作を確認します。以下のコマンドでテスト送信を行い、Elasticsearchとの接続が成功するかを確認します：

.\winlogbeat.exe test output
  • 成功時の出力例:
  connection... successful


このメッセージが表示されれば、Elasticsearchへの接続が成功しています。

  • エラー時の対応:
    出力にエラーが含まれている場合、以下の項目を確認してください：
  • Elasticsearchのホスト情報（hosts）が正しいか。
  • 認証情報（usernameとpassword）が正しいか。
  • ネットワーク接続（ポート9200が開いているか）。

3. Winlogbeatの再起動


設定ファイルを検証後、Winlogbeatを再起動して変更内容を反映します。

再起動コマンド


PowerShellで以下のコマンドを実行します：

Stop-Service -Name winlogbeat
Start-Service -Name winlogbeat


これにより、Winlogbeatが新しい設定で再起動されます。

サービスの状態確認


Winlogbeatの状態を確認するには、次のコマンドを使用します：

Get-Service -Name winlogbeat
  • StatusがRunningであれば正常に動作しています。

4. Elasticsearchでのログ送信確認


Winlogbeatが正常に動作している場合、WindowsイベントログがElasticsearchに送信されます。Kibanaを使用して送信データを確認できます。

確認手順

  1. Kibanaの「Discover」タブを開きます。
  2. 適切なインデックスパターン（例：winlogbeat-*）を選択します。
  3. 送信されたログが表示されていれば設定が成功です。

5. トラブルシューティング


Winlogbeatの動作に問題がある場合、以下の方法でトラブルシューティングを行います：

  • ログファイルの確認:
  Get-Content -Path "C:\ProgramData\winlogbeat\logs\winlogbeat.log" -Tail 50

エラーや警告メッセージを確認します。

  • デバッグモードの有効化:
    詳細なログを取得するには、winlogbeat.ymlのlogging.levelをdebugに変更し、再起動します。

これらの手順を通じて、Winlogbeatの設定を検証し、正常に動作させることが可能です。

Elasticsearchへのデータ送信の確認方法


設定したWinlogbeatがWindowsイベントログを正しくElasticsearchに送信しているかを確認する方法を説明します。Kibanaを活用した視覚的な確認と、Elasticsearch APIを使ったデータ確認の両方を解説します。

1. Kibanaを使ったデータ確認

KibanaはElasticsearchデータを視覚的に確認するためのツールです。以下の手順でWindowsイベントログが送信されているかを確認します：

1.1 Kibanaにログイン

  1. WebブラウザでKibanaのURLを開きます（例: http://localhost:5601）。
  2. ログインが必要な場合は、適切なユーザー名とパスワードを入力します。

1.2 インデックスパターンの設定

  1. Kibanaの「Management」→「Stack Management」→「Index Patterns」を選択します。
  2. winlogbeat-*というインデックスパターンを作成します（既に存在する場合はスキップ）。

1.3 データの確認

  1. Kibanaの「Discover」タブを開きます。
  2. 作成したインデックスパターン（winlogbeat-*）を選択します。
  3. ログデータがタイムライン形式で表示されます。収集したWindowsイベントログが含まれていることを確認します。

2. Elasticsearch APIを使った確認

Kibanaを使用しない場合、ElasticsearchのAPIを使って直接確認することも可能です。以下は具体的なコマンド例です：

2.1 インデックスの確認


登録されているインデックスを確認します：

Invoke-RestMethod -Uri "http://localhost:9200/_cat/indices?v"
  • 結果の確認：インデックスにwinlogbeat-*が存在すればデータが送信されています。

2.2 データの確認


最新のログデータを確認するには、次のコマンドを使用します：

Invoke-RestMethod -Uri "http://localhost:9200/winlogbeat-*/_search?pretty" -Method GET
  • 結果の確認：イベントログデータがJSON形式で表示されます。特定のログが存在するか確認してください。

3. 特定イベントのフィルタリング確認

Winlogbeatが特定の条件でイベントを収集するよう設定されている場合、そのフィルタが正しく動作しているかを確認します。たとえば、Securityログのみ収集している場合は、以下のクエリでデータを確認します：

3.1 Securityログの確認

Invoke-RestMethod -Uri "http://localhost:9200/winlogbeat-*/_search?q=event.category:security&pretty" -Method GET
  • クエリパラメータq=event.category:securityでSecurityカテゴリのイベントを絞り込みます。

4. トラブルシューティング

データが送信されていない場合は、以下を確認してください：

  • Winlogbeatのログ:
  Get-Content -Path "C:\ProgramData\winlogbeat\logs\winlogbeat.log" -Tail 50


エラーが出ていないかを確認します。

  • Elasticsearchのステータス:
    Elasticsearchが正常に稼働しているか確認します：
  Invoke-RestMethod -Uri "http://localhost:9200/_cluster/health?pretty"
  • ネットワーク接続:
    WinlogbeatがElasticsearchにアクセスできるかを確認します。

5. 正常な動作が確認できたら

WindowsイベントログがElasticsearchに送信され、KibanaやAPIで確認できれば設定は成功です。これにより、ログの監視や分析がスムーズに行える環境が整います。

応用例：カスタムログの収集と送信


WinlogbeatはWindowsイベントログ以外にも、カスタムログファイルの収集とElasticsearchへの送信をサポートしています。このセクションでは、カスタムログを収集し、Elasticsearchに送信する方法を具体的に解説します。

1. カスタムログの収集設定

Winlogbeatを使用してカスタムログファイルを収集するには、winlogbeat.ymlの設定を変更する必要があります。以下は基本的な設定例です：

設定例

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - C:/custom_logs/application.log
      - C:/custom_logs/error.log
    multiline.pattern: '^ERROR|^WARN'
    multiline.negate: true
    multiline.match: after

output.elasticsearch:
  hosts: ["http://localhost:9200"]
  username: "elastic"
  password: "password"
  • type: logを指定してログファイルを収集。
  • paths: 収集対象のログファイルのパスを指定。複数指定可能。
  • multiline.pattern: マルチラインログを処理する正規表現（例：ERRORやWARNで始まる行を基準に結合）。
  • output.elasticsearch: Elasticsearchの接続情報を指定。

2. データ送信先のインデックス設定

カスタムログを特定のインデックスに送信する場合、次の設定を追加します：

setup.template.name: "custom-logs"
setup.template.pattern: "custom-logs-*"
output.elasticsearch.index: "custom-logs-%{+yyyy.MM.dd}"
  • setup.template.name: インデックステンプレートの名前を指定。
  • setup.template.pattern: インデックスパターンを定義。
  • output.elasticsearch.index: データが送信されるインデックス名。日付ベースで生成されます。

3. ファイルのフォーマットに応じた処理

ログファイルの形式が異なる場合、適切に処理する必要があります。以下は一般的なシナリオです：

3.1 JSON形式のログ


JSON形式のログを収集する場合は、以下の設定を追加します：

processors:
  - decode_json_fields:
      fields: ["message"]
      target: ""
      overwrite_keys: true
  • decode_json_fields: messageフィールドをJSON形式としてデコードします。

3.2 CSV形式のログ


CSV形式のログは、logstashや外部プラグインを利用して処理するのが一般的ですが、Winlogbeatでは事前にログを適切な形式に変換する必要があります。

4. 動作確認

設定を変更したら、次の手順で動作確認を行います：

  1. 設定ファイルを検証：
   .\winlogbeat.exe test config
  1. Winlogbeatを再起動：
   Stop-Service -Name winlogbeat
   Start-Service -Name winlogbeat
  1. KibanaまたはAPIで収集データを確認：
   Invoke-RestMethod -Uri "http://localhost:9200/custom-logs-*/_search?pretty"

5. トラブルシューティング

  • ログが収集されない場合:
  • パスが正しいかを確認。
  • enabled: trueになっているか確認。
  • マルチラインが正しく処理されない場合:
  • multiline.patternとログ形式が一致しているか確認。
  • Elasticsearchに送信されない場合:
  • ネットワーク接続、認証情報、インデックス設定を確認。

6. 応用の可能性

カスタムログ収集の設定は、さまざまな用途に応用可能です：

  • アプリケーションログの監視。
  • エラーログやパフォーマンスログの収集。
  • 複数サーバーの統合ログ管理。

この設定により、Elastic Beatsを利用して幅広いログデータの収集と分析が可能になります。

まとめ


本記事では、PowerShellを活用したElastic Beatsの設定編集方法と、WindowsイベントログをElasticsearchに送信する手順について解説しました。Elastic Beatsの概要、設定ファイルの基本構造、PowerShellを用いた効率的な設定編集、設定内容の検証方法、さらには応用例としてカスタムログの収集方法も紹介しました。

これらの知識を活用することで、システムやアプリケーションのログ収集と監視が簡素化され、運用管理の効率が大幅に向上します。正確な設定と適切な検証を行うことで、信頼性の高いログ管理環境を構築することができます。今後の運用にぜひお役立てください。

PowerShell
PowerShell Elasticsearch Elastic Beats Windowsイベントログ

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次