# Вопрос по работе SIEM

**URL:** <https://discuss.elastic.co/t/siem/199077>\
**Category:** Вопросы на русском языке\
**Created:** [September 11, 2019, 11:56am UTC](https://discuss.elastic.co/t/siem/199077 "2019-09-11T11:56:31Z")\
**Posts on this page:** 4\
**Page:** 1

<div class="post-metadata">

**Author:** ![Igor\_Belyakov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_belyakov/32/52615_2.png) [@Igor\_Belyakov](https://discuss.elastic.co/u/Igor_Belyakov)\
**Post date:** [September 11, 2019, 11:56am UTC](https://discuss.elastic.co/t/siem/199077/1 "2019-09-11T11:56:31Z")

</div>

Добрый день.  
Пытаюсь освоить работу с SIEM. С первого запуска все заработало нормально.  
Но после пересоздания индексов auditbeat в elastic и kibana некоторые дашборды перестали работать:

 ![image](https://us1.discourse-cdn.com/elastic/original/3X/3/5/35f101c0d09aefdc0550ae150d10d634e8383755.png)  
При просмотре конкретной визуализации с предыдущего дашборда, появляется вот такая ошибка:  
 ![image](https://us1.discourse-cdn.com/elastic/original/3X/d/b/db69cfa9ea87aaa457a6243a14b221a40b12c138.png)  
В настройка визаулизации указан индекс кибаны:  
 ![image](https://us1.discourse-cdn.com/elastic/original/3X/a/8/a857108d3670498225b438d182d4515098482d71.png)

Сам требуемый индекс в кибане существует. Только это другой индекс с тем же именем:

 ![image](https://us1.discourse-cdn.com/elastic/original/3X/f/4/f4426b1f3fcc6e739b372aaa09ccd57db160425a.png)

Прошу подсказать, как в визуализации указывается источник данных? Почему корректный индекс не находится по имени. И как это, что я натворил, теперь все исправить?)

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [September 11, 2019, 3:34pm UTC](https://discuss.elastic.co/t/siem/199077/2 "2019-09-11T15:34:09Z")

</div>

Точно сказать, что произошло, сложно. Просто удаление индесков такое вызвать не должно было бы. Что вы еще, наверное, удалили. Я бы попробовал [пересоздать дашборды](https://www.elastic.co/guide/en/beats/auditbeat/current/load-kibana-dashboards.html).

---

<div class="post-metadata">

**Author:** ![Igor\_Belyakov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_belyakov/32/52615_2.png) [@Igor\_Belyakov](https://discuss.elastic.co/u/Igor_Belyakov)\
**Post date:** [September 12, 2019, 10:41am UTC](https://discuss.elastic.co/t/siem/199077/3 "2019-09-12T10:41:21Z")

</div>

Я надеялся, что можно обойтись без пересоздания дашбордов))  
Сейчас попробую

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [October 10, 2019, 10:41am UTC](https://discuss.elastic.co/t/siem/199077/4 "2019-10-10T10:41:25Z")

</div>

Closed on October 10, 2019, 10:41am UTC

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.