Winlogbeat è un agente di Elastic per Windows che legge i registri eventi dal sistema operativo e li invia a Elasticsearch o a un'altra pipeline di analisi. Viene comunemente usato per centralizzare i log di sicurezza, i record di autenticazione, gli eventi di processo e gli avvisi di sistema, così che i difensori possano cercare e correlare l'attività su molti host.
Nella sicurezza informatica, Winlogbeat è importante perché i log sono spesso la prima prova di un'intrusione, di un movimento laterale o di tentativi di accesso falliti. Se è configurato in modo errato, arrestato o compromesso, gli aggressori possono creare punti ciechi sopprimendo la telemetria o manomettendo i file locali. I difensori lo usano per creare regole di rilevamento, monitorare le azioni privilegiate e preservare la visibilità degli endpoint, soprattutto sui sistemi Windows dove la telemetria locale è fondamentale per la risposta agli incidenti.