# Группировка по полям, значение которых одинаково, но неизвестно

**URL:** <https://discuss.elastic.co/t/topic/214824>\
**Category:** Beats\
**Tags:** winlogbeat\
**Created:** [January 13, 2020, 12:06pm UTC](https://discuss.elastic.co/t/topic/214824 "2020-01-13T12:06:54Z")\
**Posts on this page:** 2\
**Page:** 1

<div class="post-metadata">

**Author:** ![castorlilasfroid](https://avatars.discourse-cdn.com/v4/letter/c/ed8c4c/32.png) [@castorlilasfroid](https://discuss.elastic.co/u/castorlilasfroid)\
**Post date:** [January 13, 2020, 12:06pm UTC](https://discuss.elastic.co/t/topic/214824/1 "2020-01-13T12:06:54Z")

</div>

Добрый день.  
Использую ELK для просмотра логов Active Directory. В частности - событий авторизации 4624.  
Но, поскольку при 1 событии авторизации генерируется несколько событий 4624 с одним и тем же winlog.event\_data.LogonGuid, вижу их как много разных событий.  
Хочу группировать события, для которых в поле winlog.event\_data.LogonGuid одинаковые значения.  
Пробовала такой вариант, но он не дал результат:

"aggs" : {  
"logins" : {  
"terms" : {  
"field" : "winlog.event\_data.LogonGuid"  
}  
}  
}

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [February 10, 2020, 12:06pm UTC](https://discuss.elastic.co/t/topic/214824/2 "2020-02-10T12:06:58Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.