夜雨聆风AI辅助运维：开源一个内网日志监控工具
一、背景：内网安全的隐形防线
做运维的朋友有没有过这样的经历：
服务器被人登录了，过了一周才发现 想查谁什么时候登录过，只能去翻事件查看器，效率极低 买了一堆昂贵的安全产品，配置复杂，小团队根本用不起 开源方案要么太重（ELK 一套下来几个 G），要么太难用
有没有一个轻量、简单、开箱即用的方案？
这就是我做 LanMonitor 的初衷——一个只有几 MB 的小工具，就能让你实时掌握内网所有机器的登录动态。
二、方案选型：为什么是 Winlogbeat + C# WinForms？
2.1 事件采集：为什么选 Winlogbeat？
Windows 自带的安全日志其实非常强大，4624（登录成功）、4625（登录失败）这些事件 ID 记录了所有登录行为。
但问题是：怎么把这些日志实时收集起来？
我对比了几种方案：
| Winlogbeat | 官方出品、性能好、断点续传、稳定可靠 |
最终选择了 Winlogbeat——Elastic 官方出品的 Windows 日志采集器，经过无数生产环境验证，稳定性有保障。
2.2 服务端：为什么用 C# WinForms？
既然用了 Winlogbeat，它的输出目标一般是 Elasticsearch。但我们只是要个告警，没必要搭一套 ELK 吧？
思路一转：能不能直接模拟 Elasticsearch 的 Bulk API，接收 Winlogbeat 的数据？
完全可以！
Winlogbeat 发的就是标准的 HTTP POST 请求，body 是 NDJSON 格式。我们只要用 HttpListener 监听端口，解析请求，弹窗告警就行了。
为什么用 C# WinForms？
原生 Windows 体验：桌面程序、系统托盘、弹窗告警，体验最好 开发效率高：WinForms 拖拖控件（或者手写代码）就能出界面 部署简单：单 exe，.NET 8 自包含发布，不用装运行时 SQLite 本地存储：零配置，一个文件搞定数据库
三、核心原理：300 行代码模拟 Elasticsearch
3.1 整体架构
┌─────────────────┐ HTTP /_bulk ┌─────────────────┐
│ 被监控服务器 │ ──────────────────> │ 监控端电脑 │
│ Winlogbeat │ NDJSON 格式 │ LanMonitor │
│ (采集安全日志) │ │ (弹窗告警) │
└─────────────────┘ └─────────────────┘
原理非常简单：
被监控端装 Winlogbeat，配置 output.elasticsearch 指向监控端 监控端用 HttpListener 监听 9200 端口，模拟 Elasticsearch 收到登录事件后，解析数据，右下角弹窗告警 数据存 SQLite，方便历史查询
3.2 模拟 ES Bulk API 有多简单？
核心代码其实只有几十行：
privateasync Task ListenLoop(CancellationToken token)
{
while (!token.IsCancellationRequested && _listener.IsListening)
{
var context = await _listener.GetContextAsync();
if (path.EndsWith("/_bulk"))
{
// 解析 NDJSON 格式的批量数据
usingvar reader = new StreamReader(context.Request.InputStream);
var content = await reader.ReadToEndAsync();
var lines = content.Split('\n');
// 第 1 行是 index 元数据，第 2 行是事件数据
for (int i = 0; i < lines.Length - 1; i += 2)
{
var eventJson = lines[i + 1];
var evt = JsonSerializer.Deserialize<WinlogbeatEvent>(eventJson);
OnLoginEvent?.Invoke(evt); // 触发事件，弹窗告警
}
}
// 返回 ES 标准响应格式
context.Response.StatusCode = 200;
var response = "{\"took\":1,\"errors\":false,\"items\":[]}";
await context.Response.OutputStream.WriteAsync(Encoding.UTF8.GetBytes(response));
context.Response.Close();
}
}
就这么简单！Winlogbeat 以为数据写入了 Elasticsearch，实际上被我们截胡了。
四、功能展示：麻雀虽小，五脏俱全
4.1 实时弹窗告警
有人登录时，右下角立刻弹出告警窗口：
红色：登录失败（有人在暴力破解？） 橙色：RDP 远程桌面登录 蓝色：普通网络登录
弹窗支持置顶、闪烁、声音提醒，想忽略都难。
4.2 多维度搜索筛选
积累了一定数据后，可以按各种维度筛选：
| 关键词 | |
| 时间 | |
| 事件类型 | |
| 登录类型 | |
| 严重程度 | |
| 读取状态 |
再也不用去事件查看器里一条条翻了。
4.3 安全加固
企业内网用，安全肯定要考虑：
Token 鉴权：支持 X-Auth-Token 和 Authorization Bearer 两种格式，没有 Token 的请求直接 401 拒绝。
IP 白名单：支持精确 IP、CIDR 网段、通配符三种格式，只允许信任的机器推送数据。
两层防护，足够应对一般的内网场景。
4.4 其他贴心功能
配置界面化：5 个 Tab 页，可视化配置所有参数，不用改代码 开机自启：注册表实现，开机自动运行 数据自动清理：每小时自动清理过期数据，不用担心数据库越来越大 告警去重：短时间内相同的告警自动去重，不会被弹窗淹没 全局异常捕获：程序出错也不会崩，记录日志继续运行 系统托盘：最小化到托盘，不占任务栏空间
五、部署指南：5 分钟搞定
监控端（你的电脑）
下载 LanMonitor 程序，直接运行 右键托盘 → 设置，配置 Token 和 IP 白名单 防火墙放行 9200 端口
被监控端（服务器）
下载 Winlogbeat（官方免费） 编辑 winlogbeat.yml：
winlogbeat.event_logs:
-name:Security
event_id:4624,4625# 只采集登录成功/失败事件
ignore_older:24h# 忽略 24 小时前的历史
output.elasticsearch:
hosts:["http://监控端IP:9200"]
headers:
X-Auth-Token:"你的Token"
安装服务，启动
六、扩展方向：不止是登录监控
现在只做了登录事件监控，但 Winlogbeat 能采集的远不止这些：
安全相关：
账户创建/删除/锁定（4720/4726/4740） 密码修改（4723/4724） 进程创建（4688）—— 可以做进程白名单 服务安装（4697）—— 检测恶意服务 防火墙规则变更（4946/4947/4948） 日志清除（1102）—— 有人删日志？立刻告警
系统相关：
系统启动/关闭（6005/6006） 服务状态变化（7036） Windows 更新（19/20）
进阶玩法：
暴力破解检测（1 分钟内失败 N 次告警） 异常登录时间检测（凌晨 3 点登录？） 异地登录检测（来源 IP 不在白名单） Sysmon 集成（更强大的进程/网络/文件监控）
想象空间很大，这只是一个开始。
七、写在最后
做这个项目最大的感受是：很多时候，解决问题不需要复杂的方案，简单的工具反而最实用。
不需要 Elasticsearch，不需要 Kafka，不需要各种高大上的中间件 一个 几 MB 的 WinForms 程序，加一个官方的 Winlogbeat 就能解决内网登录监控这个实实在在的痛点
技术不在于多复杂，而在于能不能解决问题。
如果你也有类似的需求，不妨试试这个工具。也欢迎提 Issue、PR，一起完善它。
项目地址：https://gitee.com/Alexander360/lan-monitor
如果觉得有用，点个 Star 支持一下吧～
