yum install -y java-11-openjdk java-11-openjdk-devel[root@vm ~]# vi /etc/profile.d/java11.sh[root@vm ~]# cat /etc/profile.d/java11.shexport JAVA_HOME=/usr/lib/jvm/java-11-openjdk-11.0.4.11-0.el7_6.x86_64export PATH=$PATH:$JAVA_HOME/binexport CLASSPATH=.:$JAVA_HOME/jre/lib:$JAVA_HOME/lib:$JAVA_HOME/lib/tools.jar[root@vm ~]# source /etc/profile.d/java11.sh如果还装有其它版本的JDK，可使用alternatives --config java进行选择切换java -version验证JDK环境是否配置成功
编辑Elasticsearch的yum源仓库配置文件[root@vm ~]# vi /etc/yum.repos.d/elasticsearch.reponame=Elasticsearch repository for 7.x packagesbaseurl=https://artifacts.elastic.co/packages/7.x/yumgpgkey=https://artifacts.elastic.co/GPG-KEY-elasticsearch编辑完成后，yum install -y elasticsearch进行安装由于elasticsearch的yum源站点在国外，yum下载安装耗时太长，可以直接从官网下载Linux RPM安装包
elasticsearch-7.3.0-x86_64.rpmfilebeat-7.3.0-x86_64.rpmpacketbeat-7.3.0-x86_64.rpm先将以上ELK相关RPM安装包上传到root目录下，接下来rpm -ivh进行安装elasticsearch-7.3.0并设置elasticsearch服务开机自启动，启动elasticsearch服务rpm -ivh elasticsearch-7.3.0-x86_64.rpm systemctl enable elasticsearch.servicesystemctl start elasticsearch.service验证elasticsearch服务是否正常运行在工作rpm -ivh kibana-7.3.0-x86_64.rpmvi /etc/kibana/kibana.yml修改如下两处，取消#注释并进行如下修改elasticsearch.hosts: ["http://localhost:9200"][root@vm ~]# firewall-cmd --add-port=5601/tcp --permanent[root@vm ~]# firewall-cmd --reload[root@vm ~]# systemctl start kibana [root@vm ~]# systemctl enable kibana将kibana的服务端口5601在firewalld防火墙上放通，并设置kibana服务开机自启动，启动kibana服务接下来打开http://192.168.31.81:5601，验证是否正常打开Kibana的界面rpm -ivh logstash-7.3.0.rpm例如创建一个logstash从系统安全日志/var/log/secure中收集ssh登录失败日志的配置
[root@vm ~]# cd /etc/logstash/conf.d/[root@vm conf.d]# vi sshd.conf path => "/var/log/secure" add_tag => [ "sshd_fail" ] match => { "message" => "Failed %{WORD:sshd_auth_type} for %{USERNAME:sshd_invalid_user} from %{IP:sshd_client_ip} port %{NUMBER:sshd_port} %{GREEDYDATA:sshd_protocol}" } index => "sshd_fail-%{+YYYY.MM}"修改/var/log/secure的组以及文件权限，设置logstash服务开机自启动，启动logstash服务[root@vm conf.d]# chgrp logstash /var/log/secure [root@vm conf.d]# chmod 640 /var/log/secure [root@vm conf.d]# systemctl start logstash[root@vm conf.d]# systemctl enable logstash5、并模拟sshd登录失败，生成ssh登录失败的日志
验证elasticsearch对应的sshd登录失败日志的索引是否生成
curl localhost:9200/_cat/indices?vcurl localhost:9200/sshd_fail-2019.08/_search?pretty可以看出已经有索引生成，接下来在Kibana上进行该索引的添加CentOS7下ELK日志分析平台的简单搭建就介绍到这里，后面再介绍filebeat和packetbeat采集器的使用
原文作者：WalkingCloud；如有侵权，请联系管理员删除。
