# Выгрузить Event журнал Windows

**URL:** <https://discuss.elastic.co/t/event-windows/104883>\
**Category:** Вопросы на русском языке\
**Created:** [October 23, 2017, 9:50am UTC](https://discuss.elastic.co/t/event-windows/104883 "2017-10-23T09:50:51Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![komito](https://avatars.discourse-cdn.com/v4/letter/k/34f0e0/32.png) [@komito](https://discuss.elastic.co/u/komito)\
**Post date:** [October 23, 2017, 9:50am UTC](https://discuss.elastic.co/t/event-windows/104883/1 "2017-10-23T09:50:51Z")

</div>

Здравствуйте. На сервере установлен Elasticsearch 5.6.3, Kibana 5.6.3, Logstash. C виндовых машин логи собираю winlogbeat'ом. Когда тестировал ELK, то на тестовый windows сервер установил winlogbeat агента, настроил конфиг, руками загрузил index template. Все отработало хорошо, журнал винды весь вычитался, логи собирались без проблем. Затем index template был удален и заново загружен после установки агентов еще на десяток серверов. Проблема такая: с новых серверов журналы винды вычитались полностью, но с того первого тестового сервака только с даты удаления index template. Как загрузить в эластик старые логи с этого сервера?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [October 24, 2017, 1:24pm UTC](https://discuss.elastic.co/t/event-windows/104883/2 "2017-10-24T13:24:10Z")

</div>

Информация о записях, которые уже были посланы храниться в файле `C:\ProgramData\winlogbeat\ .winlogbeat.yml`. Это информация хранится в форме «смещений». Поэтому, если вы остановите Winlogbeat, затем измените или удалите этот файл, winlogbeat повторно отправит данные. Удалении приведет к повторной отправке всех данных с начала времени или при использовании `ignore_older: 72h`, данные за последние 72 часа.

Другой вариант - изменить файл конфигурации. Изменяя `record_number`, вы можете установить «смещение», с которого Winlogbeat будет возобновлять обработку с каждого журнала.

---

<div class="post-metadata">

**Author:** ![komito](https://avatars.discourse-cdn.com/v4/letter/k/34f0e0/32.png) [@komito](https://discuss.elastic.co/u/komito)\
**Post date:** [October 25, 2017, 12:22pm UTC](https://discuss.elastic.co/t/event-windows/104883/3 "2017-10-25T12:22:39Z")

</div>

Спасибо. очень помогли.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [November 22, 2017, 12:22pm UTC](https://discuss.elastic.co/t/event-windows/104883/4 "2017-11-22T12:22:52Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.