@butolini, так, вот и обещанные вопросы:

1) Как вы пишете IIS и Tracking log? Для IIS нужны всякие multiline, pattern и остальное форматирование, а для Tracking log нет. Я попробовал указать вот так и ничего не вышло:
filebeat.inputs:
- type: log
 paths:
     - C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking\*.LOG
 fields:
    type: exchange_message_tracking
 fields_under_root: true
 scan_frequency: 5s

 paths:
    - C:\inetpub\logs\LogFiles\W3SVC1\*.log
    - C:\inetpub\logs\LogFiles\W3SVC2\*.log
 fields:
    type: exchange_IIS
 multiline:
    pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
    negate: true
    match: after

2) При таком форматировании лог IIS пишется одной строкой в Message. Это удобно? Не надо разбивать месагу на отдельные поля, по которым можно будет фильтровать? Чтобы искать по юзеру или по IP.

Эээ. Я только первую часть опубликовал. Парсинг в логстэше - во второй. Доступ платный сделаю 😁

Так чтобы парсить в логстэше нужно тэги разные задать для разных логов.

Как этого бывшего мвп это юное дарование уделывает. Мr Бутолини, учитесь)

Спасибо капитан! 🙂

На пенсию пора. В Саратов

Я просто не понимаю, если во второй части будет про LS, а в первой было про биты, то почему там нет про MTLog и тэги?

Саратов отличный город. Как там мое вино кстати?)

Есть там про тэги. Кто-то невнимательно читал

Стоит!

девопсы тоже люди, тоже хотят любви

@butolini, так, вот и обещанные вопросы:

1) Как вы пишете IIS и Tracking log? Для IIS нужны всякие multiline, pattern и остальное форматирование, а для Tracking log нет. Я попробовал указать вот так и ничего не вышло:
filebeat.inputs:
- type: log
 paths:
     - C:\Program Files\Microsoft\Exchange Server\V15\TransportRoles\Logs\MessageTracking\*.LOG
 fields:
    type: exchange_message_tracking
 fields_under_root: true
 scan_frequency: 5s

 paths:
    - C:\inetpub\logs\LogFiles\W3SVC1\*.log
    - C:\inetpub\logs\LogFiles\W3SVC2\*.log
 fields:
    type: exchange_IIS
 multiline:
    pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
    negate: true
    match: after

2) При таком форматировании лог IIS пишется одной строкой в Message. Это удобно? Не надо разбивать месагу на отдельные поля, по которым можно будет фильтровать? Чтобы искать по юзеру или по IP.