curso-elk-como-en-enviar-logs-de-windows-11-5

Curso ELK: Cómo en Enviar Logs de Windows 11

Raul Unzue Pulido 4 semanas hace Ciberseguridad, Windows Deja un comentario 691 Vistas

Curso ELK: Cómo en Enviar Logs de Windows 11

En esta entrega vamos a ver algo que muchos se preguntan: ¿puedo enviar los logs de mi Windows 11 al ELK Stack? La respuesta es sí, y además no es tan complicado como parece. Vamos a usar Winlogbeat, un “Beat” desarrollado por Elastic que se encarga específicamente de recolectar eventos del sistema operativo Windows y enviarlos a Logstash o directamente a Elasticsearch.

Usaré mi PC con Windows 11 y ELK que he montado anteriormente bajo Portainer.

Quiero empezar a recibir logs de eventos del sistema, como:

Inicios de sesión
Errores del sistema
Cambios en el registro
Logs de seguridad

Paso 1: Descargar Winlogbeat

Entra a la página oficial de Beats:
https://www.elastic.co/beats/winlogbeat
Descarga la versión ZIP adecuada para tu arquitectura (normalmente 64-bit).
Extrae el contenido en una carpeta fácil de ubicar, por ejemplo:
C:\winlogbeat

Paso 2: Configurar Winlogbeat

Abre el archivo winlogbeat.yml con tu editor favorito (Notepad++ o Visual Studio Code).
Busca la sección de output. Aquí decides si vas a enviar los logs a:Opcion A: Directo a Elasticsearch (rápido y sin logstash)

output.elasticsearch: hosts: ["http://IP_DEL_ELK:9200"]

1
2

output.elasticsearch:
hosts: ["http://IP_DEL_ELK:9200"]

Opcion B: A través de Logstash (más flexible)

output.logstash: hosts: ["IP_DEL_ELK:5044"]

1
2

output.logstash:
hosts: ["IP_DEL_ELK:5044"]
Opcionalmente, puedes configurar qué tipos de logs quieres recolectar:

winlogbeat.event_logs: - name: Application - name: Security - name: System

1
2
3
4

winlogbeat.event_logs:
- name: Application
- name: Security
- name: System

Paso 3: Configura tu firewall (si aplica)

Asegúrate de que tu PC con Windows 11 pueda comunicarse con el host donde está ELK. Si está en otra máquina o VLAN, abre el puerto 5044 (si usas Logstash) o 9200 (si vas directo a Elasticsearch).

Paso 4: Registrar y ejecutar el servicio

Abre PowerShell como administrador.
Ve a la carpeta de Winlogbeat:

cd C:\winlogbeat

1

cd C:\winlogbeat
Ejecuta:

.\install-service-winlogbeat.ps1

1

.\install-service-winlogbeat.ps1

Arrancamos el servicio y comprobamos:

Start-Service winlogbeat

Get-Service winlogbeat

Status   Name               DisplayName
------   ----               -----------
Running  winlogbeat         winlogbeat