# Requiero configurar el siguiente filtro en mis Indices pero no tengo éxito para lograrlo

**URL:** <https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194>\
**Category:** Elastic en Español\
**Created:** [April 23, 2018, 11:15pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194 "2018-04-23T23:15:30Z")\
**Posts on this page:** 6\
**Page:** 1

<div class="post-metadata">

**Author:** ![Juliolopez2018](https://avatars.discourse-cdn.com/v4/letter/j/e9c0ed/32.png) [@Juliolopez2018](https://discuss.elastic.co/u/Juliolopez2018)\
**Post date:** [April 23, 2018, 11:15pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/1 "2018-04-23T23:15:30Z")

</div>

Actualmente ya recibo información de los logs pero no tengo éxito en crear los filtros necesarios para obtener el siguiente formato y los datos que requiero:  
 ![scrip](https://us1.discourse-cdn.com/elastic/original/3X/c/1/c1e1b31698ff51a2419ef1ce38102469a447e6c2.png)

Estos son mis resultados actuales:

 ![scrip1](https://us1.discourse-cdn.com/elastic/original/3X/c/b/cb6b36fad11a572b8e4ef7a3bf3bf86a78eabbfe.png)

Este es mi filtro:

 ![scrip2](https://us1.discourse-cdn.com/elastic/original/3X/3/7/373cfa45e7321b57e44ffe00e16df56e11b29c46.png).

Les agradezco mucho su ayuda.

Otra pregunta es si puedo agregar algún nivel de seguridad por ejemplo para proteger los cambios en los Dashboard para crear accesos a nivel de solo lectura en la versión libre. Gracias

---

<div class="post-metadata">

**Author:** ![gmoskovicz](https://avatars.discourse-cdn.com/v4/letter/g/ecae2f/32.png) [@gmoskovicz](https://discuss.elastic.co/u/gmoskovicz)\
**Post date:** [April 24, 2018, 12:33pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/2 "2018-04-24T12:33:14Z")

</div>

Hola Julio,

No entiendo bien el tipo de log, por lo que no se porque el filtro no te funciona. Tienes una linea de log por defecto, y ademas también puedes copiar tu filtro de logstash aquí?

En cuanto a seguridad puedes ver la información aquí: [https://www.elastic.co/subscriptions](https://www.elastic.co/subscriptions). Se necesita una licencia de GOLD para poder tener seguridad en el cluster al día de hoy.

Saludos!

--Gabriel

---

<div class="post-metadata">

**Author:** ![Juliolopez2018](https://avatars.discourse-cdn.com/v4/letter/j/e9c0ed/32.png) [@Juliolopez2018](https://discuss.elastic.co/u/Juliolopez2018)\
**Post date:** [April 24, 2018, 4:35pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/3 "2018-04-24T16:35:57Z")

</div>

Hola Gabriel gracias por tu respuesta mi filtro de Logstash es:

Es un SysLog Filter

filter {  
if [type] == "syslog" {  
grok {  
match =\> { "message" =\> "%{SYSLOGTIMESTAMP:syslog\_timestamp} %{SYSLOGHOST:syslog\_hostname} %{DATA:syslog\_program}(?:[%{POSINT:syslog\_pid}])?: %{GREEDYDATA:syslog\_message}" }  
add\_field =\> ["received\_at", "%{@timestamp}"]  
add\_field =\> ["received\_from", "%{host}"]  
}  
syslog\_pri { }  
date {  
match =\> ["syslog\_timestamp", "MMM d HH:mm:ss", "MMM dd HH:mm:ss"]  
}  
}  
}

Tengo este para el Input:  
input {  
beats {  
port =\> 5044  
type =\> "syslog"  
ssl =\> true

# ssl\_certificate =\> "/etc/pki/tls/certs/logstash-forwarder.crt"

# ssl\_key =\> "/etc/pki/tls/private/logstash-forwarder.key"

}  
}

Y este es el Output

output {  
elasticsearch {  
hosts =\> ["--.--.--.--:9200"]  
sniffing =\> true  
manage\_template =\> false  
index =\> "%{[@metadata][beat]}-%{+YYYY.MM.dd}"  
document\_type =\> "%{[@metadata][type]}"  
}  
}

Y en el otro server tengo instalado el winlogbeat

Con el siguiente filtro:

#======================= Winlogbeat specific options ==========================  
winlogbeat.event\_logs:

- name: Application  
ignore\_older: 72h
- name: Security
- name: System  
#==================== Elasticsearch template setting ==========================  
setup.template.settings:  
index.number\_of\_shards: 3  
#================================ General =====================================  
#============================== Dashboards =====================================  
#============================== Kibana =====================================  
#============================= Elastic Cloud ==================================  
#================================ Outputs =====================================

# Configure what output to use when sending the data collected by the beat.

#-------------------------- Elasticsearch output ------------------------------  
output.elasticsearch:  
hosts: ["--.--.--.--:9200"]  
#----------------------------- Logstash output --------------------------------  
#================================ Logging =====================================  
#============================== Xpack Monitoring ===============================

Los demás renglones de datos todos tienen el # antes de las indicaciones así que los descarte para mostrarte solo lo que si se ejecuta.

---

<div class="post-metadata">

**Author:** ![gmoskovicz](https://avatars.discourse-cdn.com/v4/letter/g/ecae2f/32.png) [@gmoskovicz](https://discuss.elastic.co/u/gmoskovicz)\
**Post date:** [April 24, 2018, 4:57pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/4 "2018-04-24T16:57:18Z")

</div>

Lo mejor en estos casos es utilizar el `stdin` input, tu filtro, y luego el `stdout { codec => rubydebug }` para ver que imprime Logstash.

En el `stdin` pones/pegas en consola el log que luego parseas aqui:

```auto
grok {
match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:[%{POSINT:syslog_pid}])?: %{GREEDYDATA:syslog_message}" }
add_field => ["received_at", "%{@timestamp}"]
add_field => ["received_from", "%{host}"]
}

```

Y luego con esto ver que sucede.

Saludos,

Gabriel

---

<div class="post-metadata">

**Author:** ![Juliolopez2018](https://avatars.discourse-cdn.com/v4/letter/j/e9c0ed/32.png) [@Juliolopez2018](https://discuss.elastic.co/u/Juliolopez2018)\
**Post date:** [April 27, 2018, 11:57pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/5 "2018-04-27T23:57:26Z")

</div>

Hola Gabriel, corri el filtro con Stdin pero me arrojo el siguiente error:

[root@elk-stack conf.d]# /usr/share/logstash/bin/logstash -f "/etc/logstash/conf.d/datefailtest.conf"  
WARNING: Could not find logstash.yml which is typically located in $LS\_HOME/config or /etc/logstash. You can specify the path using --path.settings. Continuing using the defaults  
Could not find log4j2 configuration at path /usr/share/logstash/config/log4j2.properties. Using default config which logs errors to the console  
[INFO] 2018-04-27 17:58:52.417 [main] scaffold - Initializing module {:module\_name=\>"fb\_apache", :directory=\>"/usr/share/logstash/modules/fb\_apache/configuration"}  
[INFO] 2018-04-27 17:58:52.423 [main] scaffold - Initializing module {:module\_name=\>"netflow", :directory=\>"/usr/share/logstash/modules/netflow/configuration"}  
[WARN] 2018-04-27 17:58:52.778 [LogStash::Runner] multilocal - Ignoring the 'pipelines.yml' file because modules or command line options are specified  
[FATAL] 2018-04-27 17:58:52.787 [LogStash::Runner] runner - Logstash could not be started because there is already another instance using the configured data directory. If you wish to run multiple instances, you must change the "path.data" setting.  
[ERROR] 2018-04-27 17:58:52.791 [LogStash::Runner] Logstash - java.lang.IllegalStateException: org.jruby.exceptions.RaiseException: (SystemExit) exit

Si gustas te paso mi filtro con el codigo que utilice.

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [May 25, 2018, 11:57pm UTC](https://discuss.elastic.co/t/requiero-configurar-el-siguiente-filtro-en-mis-indices-pero-no-tengo-exito-para-lograrlo/129194/6 "2018-05-25T23:57:32Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.