› ›

Packetbeat 命令参考

编辑

Packetbeat 命令参考

编辑

Packetbeat 提供了一个命令行界面，用于启动 Packetbeat 并执行常见任务，例如测试配置文件和加载仪表板。

命令行还支持用于控制全局行为的全局标志。

如果以下情况，请使用sudo运行以下命令：

配置文件由root拥有，或者
Packetbeat 配置为捕获需要root访问权限的数据。

此处描述的某些功能需要 Elastic 许可证。有关更多信息，请参阅https://elastic.ac.cn/subscriptions 和许可证管理。

命令
`export`	将配置、索引模板、ILM策略或仪表板导出到标准输出。
`help`	显示任何命令的帮助。
`keystore`	管理密钥库。
`run`	运行 Packetbeat。如果您在不指定命令的情况下启动 Packetbeat，则默认使用此命令。
`setup`	设置初始环境，包括索引模板、ILM策略和写入别名以及 Kibana 仪表板（如果可用）。
`test`	测试配置。
`version`	显示有关当前版本的信息。

另请参阅全局标志。

`export` 命令

编辑

将配置、索引模板、ILM策略或仪表板导出到标准输出。您可以使用此命令快速查看您的配置，查看索引模板和 ILM 策略的内容，或从 Kibana 导出仪表板。

概要

packetbeat export SUBCOMMAND [FLAGS]

子命令

config

将当前配置导出到标准输出。如果您使用-c标志，则此命令将导出在指定文件中定义的配置。

dashboard

导出仪表板。您可以使用此选项将仪表板存储在模块中的磁盘上并自动加载它。例如，要将仪表板导出到 JSON 文件，请运行

packetbeat export dashboard --id="DASHBOARD_ID" > dashboard.json

要查找DASHBOARD_ID，请查看 Kibana 中仪表板的 URL。默认情况下，export dashboard 将仪表板写入标准输出。该示例显示了如何将仪表板写入 JSON 文件以便稍后导入。JSON 文件将包含具有所有可视化和搜索的仪表板。您必须单独加载 Packetbeat 的索引模式。

要加载仪表板，请将生成的dashboard.json文件复制到 Packetbeat 的kibana/6/dashboard目录中，然后运行packetbeat setup --dashboards以导入仪表板。

如果 Kibana 没有运行在localhost:5061上，您还必须调整setup.kibana下的 Packetbeat 配置。

template

将索引模板导出到标准输出。您可以指定--es.version标志来进一步定义要导出的内容。此外，您可以通过--dir定义目录，将模板导出到文件而不是stdout。

ilm-policy: 将索引生命周期管理策略导出到标准输出。您可以指定--es.version和--dir，将策略导出为文件而不是导出到stdout。

标志

--es.version 版本: 与template一起使用时，导出与指定版本兼容的索引模板。与ilm-policy一起使用时，如果为 ILM 启用了指定的 ES 版本，则导出 ILM 策略。
-h, --help: 显示export命令的帮助。
--dir 目录名: 定义一个目录，将模板、管道和 ILM策略导出到该目录作为文件，而不是将它们打印到stdout。
--id 仪表板ID: 与dashboard一起使用时，指定仪表板 ID。

另请参阅全局标志。

示例

packetbeat export config
packetbeat export template --es.version 8.16.0
packetbeat export dashboard --id="a7b35890-8baa-11e8-9676-ef67484126fb" > dashboard.json

`help` 命令

编辑

显示任何命令的帮助。如果没有指定命令，则显示run命令的帮助。

概要

packetbeat help COMMAND_NAME [FLAGS]

命令名: 指定要显示其帮助的命令的名称。

标志

-h, --help: 显示help命令的帮助。

另请参阅全局标志。

示例

packetbeat help export

`keystore` 命令

编辑

管理密钥库。

概要

packetbeat keystore SUBCOMMAND [FLAGS]

子命令

add 密钥: 将指定的密钥添加到密钥库。使用--force标志覆盖现有密钥。使用--stdin标志通过stdin传递值。
create: 创建一个密钥库来保存密钥。使用--force标志覆盖现有的密钥库。
list: 列出密钥库中的密钥。
remove 密钥: 从密钥库中删除指定的密钥。

标志

--force: 与add和create子命令一起使用有效。与add一起使用时，覆盖指定的密钥。与create一起使用时，覆盖密钥库。
--stdin: 与add一起使用时，使用 stdin 作为密钥值的来源。
-h, --help: 显示keystore命令的帮助。

另请参阅全局标志。

示例

packetbeat keystore create
packetbeat keystore add ES_PWD
packetbeat keystore remove ES_PWD
packetbeat keystore list

有关更多示例，请参阅安全密钥库。

`run` 命令

编辑

运行 Packetbeat。如果您在不指定命令的情况下启动 Packetbeat，则默认使用此命令。

概要

packetbeat run [FLAGS]

或者

packetbeat [FLAGS]

标志

-I, --I 文件

从指定的文件读取数据包数据，而不是从网络读取数据包。此选项仅适用于测试 Packetbeat。

packetbeat run -I ~/pcaps/network_traffic.pcap

-N, --N

出于测试目的禁用发布。此选项禁用除文件输出之外的所有输出。

-O, --O

按每个数据包后按Enter键逐个读取数据包。此选项仅适用于测试 Packetbeat。

--cpuprofile 文件

将 CPU 配置文件数据写入指定的文件。此选项可用于对 Packetbeat 进行故障排除。

-devices

打印可用于嗅探的设备列表，然后退出。

-dump 文件

将所有捕获的数据包写入指定的文件。此选项可用于对 Packetbeat 进行故障排除。

-h, --help

显示run命令的帮助。

--httpprof [主机]:端口

启动用于分析的 http 服务器。此选项可用于对 Packetbeat 进行故障排除和分析。

-l N

读取 pcap 文件N次。默认为 1。将此选项与-I选项结合使用。对于无限循环，使用0。-l选项仅适用于测试 Packetbeat。

--memprofile 文件

将内存配置文件数据写入指定的文件。此选项可用于对 Packetbeat 进行故障排除。

--system.hostfs 挂载点

指定主机文件系统的挂载点，用于监控主机。此标志已弃用，应通过hostfs模块配置值指定备用 hostfs。

-t

尽可能快地从 pcap 文件读取数据包，无需休眠。将此选项与-I选项结合使用。-t选项仅适用于测试 Packetbeat。

另请参阅全局标志。

示例

packetbeat run -e

或者

packetbeat -e

`setup` 命令

编辑

设置初始环境，包括索引模板、ILM策略和写入别名以及 Kibana 仪表板（如果可用）。

索引模板确保在 Elasticsearch 中正确映射字段。如果启用了索引生命周期管理，它还确保将定义的 ILM 策略和写入别名连接到与索引模板匹配的索引。ILM策略负责索引的生命周期，何时进行轮换，何时将索引从活动阶段移动到下一阶段等。
Kibana 仪表板使您更容易在 Kibana 中可视化 Packetbeat 数据。

此命令设置环境，而无需实际运行 Packetbeat 并摄取数据。指定可选标志以设置资产的子集。

概要

packetbeat setup [FLAGS]

标志

--dashboards: 设置 Kibana 仪表板（如果可用）。此选项从 Packetbeat 包加载仪表板。有关更多选项（例如加载自定义仪表板），请参阅《Beats 开发人员指南》中的导入现有 Beat 仪表板。
-h, --help: 显示setup命令的帮助。
--index-management: 设置与 Elasticsearch 索引管理相关的组件，包括模板、ILM 策略和写入别名（如果受支持且已配置）。

另请参阅全局标志。

示例

packetbeat setup --dashboards
packetbeat setup --index-management

`test` 命令

编辑

测试配置。

概要

packetbeat test SUBCOMMAND [FLAGS]

子命令

config: 测试配置设置。
output: 通过使用当前设置测试 Packetbeat 是否可以连接到输出。

标志

-h, --help: 显示test命令的帮助。

另请参阅全局标志。

示例

packetbeat test config

`version` 命令

编辑

显示有关当前版本的信息。

概要

packetbeat version [FLAGS]

标志

-h, --help: 显示version命令的帮助。

另请参阅全局标志。

示例

packetbeat version

全局标志

编辑

每当您运行 Packetbeat 时，这些全局标志都可用。

-E, --E "设置名称=值"

覆盖特定配置设置。您可以指定多个覆盖。例如

packetbeat -E "name=mybeat" -E "output.elasticsearch.hosts=['http://myhost:9200']"

此设置应用于当前正在运行的 Packetbeat 进程。Packetbeat 配置文件不会更改。

-c, --c 文件

指定要用于 Packetbeat 的配置文件。您在此处指定的文件相对于path.config。如果未指定-c标志，则使用默认配置文件packetbeat.yml。

-d, --d 选择器

为指定的组件启用调试。对于选择器，您可以指定组件的逗号分隔列表，或者可以使用-d "*"为所有组件启用调试。例如，-d "publisher"显示所有与发布者相关的消息。

-e, --e

登录到 stderr 并禁用 syslog/文件输出。

-environment

出于日志记录目的，指定 Packetbeat 运行的环境。此设置用于在未配置日志输出时选择默认日志输出。支持的值包括：systemd、container、macos_service和windows_service。如果指定了systemd或container，Packetbeat 将默认登录到 stdout 和 stderr。

--path.config

设置配置文件的路径。有关详细信息，请参阅目录布局部分。

--path.data

设置数据文件路径。详情请参见目录布局部分。

--path.home

设置杂项文件路径。详情请参见目录布局部分。

--path.logs

设置日志文件路径。详情请参见目录布局部分。

--strict.perms

设置配置文件的严格权限检查。默认值为-strict.perms=true。更多信息请参见配置文件所有权和权限。

-v, --v

记录INFO级别的消息。

« 安全设置的密钥库 APT 和 YUM 的资源库 »

Packetbeat 命令参考

Packetbeat 命令参考

export 命令

help 命令

keystore 命令

run 命令

setup 命令

test 命令

version 命令

全局标志

`export` 命令

`help` 命令

`keystore` 命令

`run` 命令

`setup` 命令

`test` 命令

`version` 命令