# Умножить два поля **URL:** \ **Category:** Вопросы на русском языке\ **Created:** [September 2, 2021, 7:26am UTC](https://discuss.elastic.co/t/topic/283133 "2021-09-02T07:26:36Z")\ **Posts on this page:** 9\ **Page:** 1
**Author:** ![zhsv](https://avatars.discourse-cdn.com/v4/letter/z/7ba0ec/32.png) [@zhsv](https://discuss.elastic.co/u/zhsv)\ **Post date:** [September 2, 2021, 7:26am UTC](https://discuss.elastic.co/t/topic/283133/1 "2021-09-02T07:26:36Z")
В ELK отправляются события печати windows (код 307 и 805) в одном количество распечатанных страниц во втором количество копий. Необходимо умножить эти значения, чтобы получить сумму распечатанных страниц. winlog.user\_data.Param8 - 2 - распечатал две страницы ```auto _id Mlt5o3sBfG5S8iaV_QFW _index win_print-logs-2021.09.01 _score 1 _type _doc @timestamp Sep 2, 2021 @ 09:28:01.594 @version 1 agent.hostname MS-307 event.created Sep 2, 2021 @ 09:28:03.301 tags win_print, win_print, beats_input_raw_event, _grokparsefailure winlog.computer_name MS-307-2.AAA.RT.LOCAL winlog.user_data.Param5 WF-M5690 Series(Сеть) (Копировать 1) winlog.user_data.Param8 2 ``` Вот количество копий winlog.user\_data.Copies 1 ```auto _id MVt5o3sBfG5S8iaV_QFW _index win_print-logs-2021.09.01 _score 1 _type _doc @timestamp Sep 2, 2021 @ 09:28:01.594 @version 1 agent.hostname MS-307-2 event.created Sep 2, 2021 @ 09:28:03.301 tags win_print, win_print, beats_input_raw_event, _grokparsefailure winlog.computer_name MS-307.AAA.RT.LOCAL winlog.user_data.Copies 1 ``` Как можно умножить поля winlog.user\_data.Copies и winlog.user\_data.Param8 чтобы в отчете по имени ПК или пользователю видеть реальное число распечатанных страниц? ---
**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\ **Post date:** [September 2, 2021, 5:13pm UTC](https://discuss.elastic.co/t/topic/283133/2 "2021-09-02T17:13:32Z")
> **[Aggregate filter plugin | Logstash Reference \[7.14\] | Elastic](https://www.elastic.co/guide/en/logstash/current/plugins-filters-aggregate.html)** ---
**Author:** ![zhsv](https://avatars.discourse-cdn.com/v4/letter/z/7ba0ec/32.png) [@zhsv](https://discuss.elastic.co/u/zhsv)\ **Post date:** [September 2, 2021, 9:29pm UTC](https://discuss.elastic.co/t/topic/283133/3 "2021-09-02T21:29:34Z")
Почитал, но не понял. п.с. только пару недель как начал работать с ELK. ---
**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\ **Post date:** [September 2, 2021, 9:47pm UTC](https://discuss.elastic.co/t/topic/283133/4 "2021-09-02T21:47:20Z")
> [@zhsv](#): > > но не понял. Какую часть? ---
**Author:** ![zhsv](https://avatars.discourse-cdn.com/v4/letter/z/7ba0ec/32.png) [@zhsv](https://discuss.elastic.co/u/zhsv)\ **Post date:** [September 3, 2021, 12:27am UTC](https://discuss.elastic.co/t/topic/283133/5 "2021-09-03T00:27:01Z")
Я так понимаю, что там речь идет об агрегировании событий одной и той же задачи. К меня два разных события журнала виндовс. ---
**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\ **Post date:** [September 3, 2021, 2:41pm UTC](https://discuss.elastic.co/t/topic/283133/6 "2021-09-03T14:41:12Z")
То есть вы не знаете какая запись про количество страниц относиться к какой записи про количество копий? ---
**Author:** ![zhsv](https://avatars.discourse-cdn.com/v4/letter/z/7ba0ec/32.png) [@zhsv](https://discuss.elastic.co/u/zhsv)\ **Post date:** [September 5, 2021, 9:34pm UTC](https://discuss.elastic.co/t/topic/283133/7 "2021-09-05T21:34:03Z")
Предполагаю, что если найти winlog.computer\_name и одно и то же время событий event.created то получим как раз время и количество печати с одного ПК. ---
**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\ **Post date:** [September 7, 2021, 3:57pm UTC](https://discuss.elastic.co/t/topic/283133/8 "2021-09-07T15:57:18Z")
> [@zhsv](#): > > что если найти winlog.computer\_name и одно и то же время событий event.created то получим как раз время и количество печати с одного ПК. Значит, вы можете использовать эти два поля для того, чтобы получить [task\_id](https://www.elastic.co/guide/en/logstash/current/plugins-filters-aggregate.html#plugins-filters-aggregate-task_id). При получении первого события, вы можете [создать map](https://www.elastic.co/guide/en/logstash/current/plugins-filters-aggregate.html#plugins-filters-aggregate-map_action) и сохранить там количество страниц, при получении второго события вы можете умножить сохраненное количество страниц на количество копий, как показано в [первом примере](https://www.elastic.co/guide/en/logstash/current/plugins-filters-aggregate.html#plugins-filters-aggregate-example1), только вместо обновления map в промежуточных событиях, вы ее обновите в первом событии. ---
**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\ **Post date:** [October 5, 2021, 3:57pm UTC](https://discuss.elastic.co/t/topic/283133/9 "2021-10-05T15:57:33Z")
This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.