在 Debian 系统上，Filebeat 主要用来轻量级地采集和转发日志/事件数据，它本身不存储或分析数据，而是把数据发给 Elasticsearch、Logstash、Kafka 等。
下面按“能监控什么”来分类说明：
Filebeat 最常用的是 监控文件内容变化并逐行读取日志。
Debian 上常见日志文件：
/var/log/syslog/var/log/messages/var/log/auth.log/var/log/kern.log/var/log/dpkg.log示例：
filebeat.inputs:
- type: log
paths:
- /var/log/syslog
- /var/log/auth.log
/var/log/nginx/*.log/var/log/apache2/*.log/var/log/mysql/error.log/var/lib/docker/containers/*/*.logmultiline.pattern: '^\['
multiline.match: after
Filebeat 自带很多 预置模块，在 Debian 上非常常用：
filebeat modules list
filebeat modules enable system nginx mysql
模块会自动：
Filebeat 不是监控系统指标的工具（那是 Metricbeat），但可以通过以下方式“监控”：
filebeat.inputs:
- type: log
paths:
- /var/log/journal/*
或使用 journalbeat（已合并进 Filebeat 的 system 模块）
Filebeat 还能监控：
- type: stdin
- type: tcp
host: "0.0.0.0:9000"
❌ 不直接监控系统 CPU、内存、磁盘使用率
❌ 不做日志分析（只是采集）
❌ 不存数据
这些由以下组件完成：
✅ 服务器日志统一收集
✅ 安全审计（SSH 登录）
✅ Web 服务访问分析
✅ 容器日志集中管理
✅ 发到 Kafka / ELK
如果你愿意，我可以：
