总体思路现在我有两台主机，100采集102日志后，通过filebeat采集发送给logstash，Logstash清洗完成后发送给es，es建立索引进行存储
12192.168.10.l00 almalinux9.6 rsyslog服务端 514端口192.168.10.102 centos7.9 rsyslog客户端
配置客户端配置cmd记录脚本简单来说，每次执行命令都会触发这个trap，脚本把命令和信息摘出来，然后把各种信息包括IP、用户名、具体命令，全都通过logger写入日志rsyslog日志
附带了简单的清洗
123456789101112131415161718192021...
创建一个索引模板昨天手动put了syslog-security-2026.03.19的索引格式，但一条一条添加肯定不行
以后任何以 syslog-security- 开头的索引，都会自动变成 3 分片、1 副本，并且 src_ip 永远是 ip 类型。
部署与使用Logstash支持input→filter→ouput的工作流，特别是filter功能可以识别IP、时间格式对数据进行拆分，输出规整的精美json
参考文档：二进制部署：https://www.elastic.co/docs/reference/logstash/installing-logstash
目前我们是初学者，就先...