logstash.conf

input {
  file {
    path => "/var/log/suricata/eve.json"  # Percorso del log eve.json di Suricata
    start_position => "beginning"
    sincedb_path => "/var/lib/logstash/sincedb/suricata"  # Percorso per il file di sincedb
  }
}

filter {
  # Se eve.json è già un JSON valido, questo potrebbe non essere necessario
  json {
    source => "message"
    remove_field => ["message"]  # Rimuovi il campo message se non è necessario
  }
  if [event_type] == "alert" {
    mutate {
      add_tag => ["suricata-alert"]
    }
  }
}

output {
  elasticsearch {
    hosts => ["elasticsearch:9200"]  # Collegamento a Elasticsearch
    index => "suricata-%{+YYYY.MM.dd}"
  }
  stdout { codec => rubydebug }  # Rimuovi o commenta questa linea in produzione
}