Error en filebeat

[fred8v (Fred)]

Hola, buen día. Soy totalmente nuevo en esto.

He instalado la suite de ELK Stack utilizado el sistema Security Onion, al estar revisando las métricas de los agentes, no muestra ningún dato:

Y al revisar las input metrics, muestra errores sobre filebeat_input... was not found, como en la siguiente imagen:

Este mismo error se muestra en las secciones y cada uno de sus diferentes apartados internos de HTTP Endponit, HTTP Json y S3.

¿Hay alguna configuración que no estoy realizando o es algo diferente?

[jsanz (Jorge Sanz)]

Has confirmado que tus agentes están subiendo datos a Elasticsearch?

Esto lo puedes ver de muchas maneras pero imagino que la más fácil es en "Stack Management" -> "Index Management" y ahí activar los índices ocultos para ver si tus data streams están recibiendo documentos.

También puedes usar la consola para, usando la api _cat, ver un resumen de tus índices con esta consulta que te devuelve los índices ordenados por tamaño

GET _cat/indices?v&h=index,docs.count,dataset.size&s=dataset.size:desc

[fred8v (Fred)]

Hola Jorge, gracias por tomarte el tiempo en responderme.

He activado los índices ocultos y he realizado la consulta en la consola que mencionas. Algunos índices si envían información, al solo tener 1 agente por el momento es poca cantidad y otros no envían nada.

A partir de la línea 39, todos los índices se encuentran así:

[jsanz (Jorge Sanz)]

Lo siguiente entonces en inspeccionar los dashboards para ver qué indices o data streams consumen y cruzarlo con esa lista que has obtenido.

En dashboards, para cualquier métrica o visualización, si entras en su panel de edición, puedes encontrar un botón Inspect arriba a la derecha que te lleva a una interfaz que te muestra la consulta que se está haciendo a Elasticsearch, así como los resultados, incluyendo todos los filtros, el rango temporal que tienes en el dashboard, etc. Parece que las consultas de tus cuadros de mando no están dando resultados, habría que ver si es porque la fecha en la que estás no tiene datos, o están consumiendo un índice que no está configurado, etc.

Suerte!