====== Winlogbeat installatie======
[[elk_stack:elk_stack|{{ :elk_stack:icon.jpg?120|}}]]

===== context=====
dit document beschrijft de installatie van Winlogbeat op Windows 

===== installatie =====
  * Kibana: Observability > Overview: Add integrations
  * filter op **Beats only**, zoek: Windows
  * kies: **Windows Event Logs**
  * volg de installatie instructies
    * [[https://www.elastic.co/downloads/beats/winlogbeat|download]] Zip file
    * pak uit onder **C:\Program Files** en hernoem naar **winlogbeat**
    * start powershell-as-admin en voer uit: <code>powershell.exe -ExecutionPolicy UnRestricted -File "C:\Program Files\winlogbeat\install-service-winlogbeat.ps1"</code>

===== configuratie =====
==== bestand ====

    - open ''winlogbeat.yml''
      - output.elasticsearch:
        - zet in commentaar (#)
      - #output.logstash:
        - #hosts: ["localhost:5044"]
          - zet beide uit commentaar en vul de logstash server in
    - bewaar je wijzigingen
    - start Winlogbeat: ''Start-Service winlogbeat''

Om de windows eventlogs te **kiezen** die je wilt, bewerk je onderstaande sectie
<code>winlogbeat.event_logs:
  - name: Application
    ignore_older: 72h

  - name: System

  - name: Security

</code>
Om te zien welke eventlogs beschikbaar zijn op de computer, voer je onderstaand PS commando uit: ''get-eventlog *''

In geval van een **eerste** installatie van Winlogbeat, dien je nog onderstaande stappen **eenmalig** uit te voeren: 
==== indexing ====
    - laad de indexing template: 
      - start powershell-as-admin en voer uit:<code>.\winlogbeat.exe setup --index-management -E output.logstash.enabled=false -E 'output.elasticsearch.hosts=["elk:9200]'</code>

==== kibana dashboards ====
    - start powershell-as-admin en voer uit:<code>.\winlogbeat.exe setup -e -E output.logstash.enabled=false -E output.elasticsearch.hosts=["elk:9200"] -E setup.kibana.host=kibana:5601</code>    
    - start Winlogbeat: ''Start-Service winlogbeat'' 


===== meer info =====
  - [[https://www.elastic.co/guide/en/beats/filebeat/7.5/setup-repositories.html|installatie]]
  - [[elk_stack:logstash_configuratie|logstash_configuratie]]
{{tag>elk_stack filebeat}}