本文档作为如何在同一服务器上配置和运行Filebeat/Metricbeat/Auditbeat的多个实例的指南。当你需要为同一台计算机上的不同应用程序或环境分离数据收集和处理时，此设置特别有用。

目标这里我们实现一个简单的demo工程，展示auditbeat如何实现一个module，并把数据发送到ElasticSearch，工程源码可以在Github上下载创建一个auditbeatModuleauditbeatModule

Elasticsearch分析和搜索仪表板Logstash是一款强大的数据处理工具,它可以实现数据传输,格式处理,格式化输出,还有强大的插件功能,常用于日志处理Filebeat是本地文件的日志数据采集器Auditbeat

目录禁用Auditd配置AuditbeatAuditbeat模块规则Auditbeat设置命令开始使用监控数据TTY审计测试Kibana发现思考使用Auditbeat模块监控shell命令AuditbeatAudited

工作流程如下两种图示意，数据流向.png数据汇聚结构.png1、agent（指的是filebeat、metricbeat、auditbeat、API服务、logstash）收集需要提取的日志文件，包括syslog

auditbeat使用sudo.

基础环境介绍Centos7.5x64ElasticSearch6.5.1Logstash6.5.1Kibana6.5.1filebeat6.5.1metricbeat6.5.1heartbeat6.5.1auditbeat6.5.1Kibana_Hanization6.5.1

一、背景Auditbeat是轻量型的审计日志采集器，可以收集linux审计框架的数据、监控文件完整性。