如何为elk-auditbeat日志配置rsyslog不存储在/var/log/消息中

Question

我已经在我的centos7中安装了审核-节拍，这里的审计-敲击日志存储在/var/log/messages文件中。因为审计记录我的磁盘每次都会满。如何将rsyslog配置为不将审计-拍打日志存储到/var/log/messages文件中？

Answer 1

默认情况下，-e标志将输出发送给stderr。您可以从systemd单元文件(S)中删除此选项。应该能帮上忙。

sed -e '/BEAT_LOG_OPTS=-e/ s/^#*/#/' -i /lib/systemd/system/{auditbeat,metricbeat,filebeat}.service
systemctl daemon-reload
systemctl restart metricbeat filebeat

在这个线程中找到答案/线索

注意:对于B拍7.7+，配置已经更改，因此上面的内容将无法工作。

https://github.com/elastic/beats/issues/12024#issuecomment-628925105