# Dashboard по событиям удаления файлов

**URL:** <https://discuss.elastic.co/t/dashboard/172476>\
**Category:** Вопросы на русском языке\
**Created:** [March 15, 2019, 7:55am UTC](https://discuss.elastic.co/t/dashboard/172476 "2019-03-15T07:55:41Z")\
**Posts on this page:** 6\
**Page:** 1

<div class="post-metadata">

**Author:** ![KOTOXJle6](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/kotoxjle6/32/131136_2.png) [@KOTOXJle6](https://discuss.elastic.co/u/KOTOXJle6)\
**Post date:** [March 15, 2019, 7:55am UTC](https://discuss.elastic.co/t/dashboard/172476/1 "2019-03-15T07:55:41Z")

</div>

Добрый день.

Хочу настроить вывод логов удаления файлов с файлового сервера. В интернете нашел пример того, что хотелось бы реализовать у себя

 ![555](https://us1.discourse-cdn.com/elastic/original/3X/1/c/1cc6dbb1a383f46e43a84c18a8b450ed370dccd3.png)

Только вместо file\_action сделать delete. Но столкнулся с тем, что у меня в Kibana почему то нет возможности выбора полей Object, например event\_data.ObjectName.

![666](https://us1.discourse-cdn.com/elastic/original/3X/2/1/21f03a03e72710e5ccf46d104e5febb4853ccf30.png)

Подскажите пожалуйста, в чем может быть проблема?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [March 15, 2019, 2:54pm UTC](https://discuss.elastic.co/t/dashboard/172476/2 "2019-03-15T14:54:38Z")

</div>

Скорее всего, маппинг не совместим с этой операцией. Для того, чтобы агрегация работала, нужна версия поля проиндексированного как `keyword`. Как вы видете у большинства полей это присутствует. На маппинг можно посмотреть командой [get mapping](https://www.elastic.co/guide/en/elasticsearch/reference/current/indices-get-mapping.html).

---

<div class="post-metadata">

**Author:** ![KOTOXJle6](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/kotoxjle6/32/131136_2.png) [@KOTOXJle6](https://discuss.elastic.co/u/KOTOXJle6)\
**Post date:** [March 18, 2019, 8:52am UTC](https://discuss.elastic.co/t/dashboard/172476/3 "2019-03-18T08:52:26Z")

</div>

Получается мне нужно в шаблон индекса добавить это поле?

![mapping](https://us1.discourse-cdn.com/elastic/original/3X/c/6/c645d321cff82a0fb98217b0214ce707a68bd960.png)

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [March 18, 2019, 10:46pm UTC](https://discuss.elastic.co/t/dashboard/172476/4 "2019-03-18T22:46:39Z")

</div>

Я этого не говорил. Просто сначала надо разобраться как выглядит маппинг, а потом можно поговорить о переиндексации чтобы эту проблему исправить.... если проблема действительно в меппинге

---

<div class="post-metadata">

**Author:** ![KOTOXJle6](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/kotoxjle6/32/131136_2.png) [@KOTOXJle6](https://discuss.elastic.co/u/KOTOXJle6)\
**Post date:** [April 2, 2019, 9:32am UTC](https://discuss.elastic.co/t/dashboard/172476/5 "2019-04-02T09:32:37Z")

</div>

Всё было настолько просто, что даже смешно. На картинке написано решение. Нужно просто зайти в Management, выбрать Index Patterns и справа нажать Refresh field list. И все предупреждения с полей пропадают, в дашбордах теперь можно выбирать их все.

Правда у меня пока не получилось добиться нужного результата. Реальное удаление файла это Event 4660 сразу после 4663. Если Event 4663 один, то это только изменение. Заметил что события удаления можно группировать по полю "Object:Handle ID:" - этот ID совпадает в событиях 4660 и 4663.

Если брать поля  
event\_data.SubjectUserName.keyword, event\_data.ObjectName.keyword, event\_data.AccessMask.keyword, event\_data.TransactionId.keyword, event\_data.HandleId, то таблица получается близкой к тому что нужно, но не то. Пока не получается добиться чтобы оставались только уникальные события и только по удалению файлов.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [April 30, 2019, 9:32am UTC](https://discuss.elastic.co/t/dashboard/172476/6 "2019-04-30T09:32:49Z")

</div>

Closed on April 30, 2019, 9:32am UTC

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.