企业官网建设流程全解析

如何在1小时内部署Logging Made Easy：从GPO到ELK的快速入门教程

【免费下载链接】lmeLogging Made Easy项目地址: https://gitcode.com/gh_mirrors/lme/lme

Logging Made Easy（LME）是一款简单高效的日志管理解决方案，能够帮助用户快速实现从Windows事件收集到ELK Stack分析的完整流程。本教程将带你在60分钟内完成从GPO配置到ELK部署的全流程，让日志收集与分析变得前所未有的简单！

准备工作：10分钟环境检查 ⚙️

在开始部署前，请确保你的环境满足以下条件：

• 一台运行Windows Server的域控制器（用于GPO配置）
• 一台Linux服务器（推荐Ubuntu 20.04+，用于部署ELK Stack）
• 网络互通且防火墙已开放必要端口（5601、9200、5044等）
• 本地管理员权限

首先克隆LME项目仓库：

git clone https://gitcode.com/gh_mirrors/lme/lme

第一步：GPO配置实现事件转发（15分钟） 📤

创建组织单位（OU）

1. 打开Active Directory用户和计算机工具
2. 在域名下创建新的组织单位（如"LME Testing OU"）

导入LME GPO模板

1. 从项目目录Chapter 1 Files/中获取GPO模板
2. 在组策略管理中右键点击创建的OU，选择"Link an Existing GPO..."

3. 导入完成后，确认GPO设置已启用事件转发和WinRM服务

第二步：ELK Stack快速部署（20分钟） 🚀

使用Docker Compose一键部署

LME提供了预配置的Docker Compose文件，位于Chapter 3 Files/docker-compose-stack.yml，执行以下命令启动ELK服务：

cd Chapter 3 Files docker-compose -f docker-compose-stack.yml up -d

验证服务状态

等待约5分钟后，通过以下URL访问Kibana控制台：

• Kibana: http://服务器IP:5601

首次登录Kibana时，会显示数据添加向导：

第三步：Winlogbeat配置（10分钟） 🖥️

安装Winlogbeat

1. 从Elastic官网下载Winlogbeat
2. 使用项目提供的配置文件Chapter 3 Files/winlogbeat.yml替换默认配置
3. 安装并启动服务：

.\install-service-winlogbeat.ps1 Start-Service winlogbeat

验证Winlogbeat运行状态

在Windows服务管理器中确认Winlogbeat服务状态为"Running"：

第四步：Kibana配置与仪表盘导入（5分钟） 📊

导入LME仪表盘

1. 在Kibana中进入Management > Saved Objects
2. 点击"Import"按钮，选择项目中的Chapter 4 Files/dashboards.ndjson文件

查看LME状态仪表盘

导入完成后，在Kibana的Dashboard页面打开"LME Status Dashboard"：

第五步：SIEM规则配置与告警（可选） 🔍

LME集成了Elastic SIEM功能，可快速启用预构建的检测规则：

1. 进入Kibana的SIEM > Detections页面
2. 点击"Load prebuilt detection rules"按钮

部署验证与健康检查 ✅

访问健康检查仪表盘确认所有组件正常运行：

至此，你已成功部署Logging Made Easy解决方案！整个过程仅需约1小时，即可实现从Windows事件收集、日志分析到安全监控的完整流程。更多高级配置可参考项目文档docs/chapter3.md和docs/troubleshooting.md。

祝你的日志管理工作变得轻松高效！ 🎉

【免费下载链接】lmeLogging Made Easy项目地址: https://gitcode.com/gh_mirrors/lme/lme