# Winlogbeat как отбрасывать все поля, кроме заданных?

**URL:** <https://discuss.elastic.co/t/winlogbeat/173330>\
**Category:** Вопросы на русском языке\
**Created:** [March 21, 2019, 2:26pm UTC](https://discuss.elastic.co/t/winlogbeat/173330 "2019-03-21T14:26:00Z")\
**Posts on this page:** 9\
**Page:** 2

<div class="post-metadata">

**Author:** ![artem33region](https://avatars.discourse-cdn.com/v4/letter/a/f07891/32.png) [@artem33region](https://discuss.elastic.co/u/artem33region)\
**Post date:** [April 4, 2019, 2:46pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/21 "2019-04-04T14:46:23Z")

</div>

В Security есть события 4663 от разных пользователей, но в logstash приходят только от одного.

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [April 4, 2019, 4:49pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/22 "2019-04-04T16:49:41Z")

</div>

А эти события с этой машины или они были отфорвардены?

---

<div class="post-metadata">

**Author:** ![artem33region](https://avatars.discourse-cdn.com/v4/letter/a/f07891/32.png) [@artem33region](https://discuss.elastic.co/u/artem33region)\
**Post date:** [April 5, 2019, 5:37am UTC](https://discuss.elastic.co/t/winlogbeat/173330/23 "2019-04-05T05:37:49Z")

</div>

Игорь, спасибо за помощь, опять я немного туплю, потому что на 100% не знаю как работает winlogbeat. Все события отправились, их очень много и поэтому winlogbeat их долго копировал.  
Но все же еще есть один вопрос:  
На файл сервере в конфиге winlogbeat следующий конфиг:

> winlogbeat.event\_logs:
> 
> - name: Microsoft-Windows-TerminalServices-LocalSessionManager/Operational  
> event\_id: 21, 23, 24, 25, 39  
> tags: ["windows"]  
> processors:
> - include\_fields:  
> fields: ["event\_id", "host.name", "user\_data.Address", "user\_data.User", "tags"]  
> winlogbeat.event\_logs:
> - name: Security  
> ignore\_older: 4h  
> event\_id: 4663  
> tags: ["storage"]

Winlogbeat отправляет логи двух журналов в logstash, в первом журнале я отправляю (21, 23, 24, 25, 39) ID, а из второго 4663 ID. Для первого журнала у меня стоит ограничение по отправляемым полям, для того чтобы в elasticsearch было меньше мусора и это ограничение так же режет поля и для второго журнала, как мне для второго журнала (Security) задать свои ограничения?

---

<div class="post-metadata">

**Author:** ![artem33region](https://avatars.discourse-cdn.com/v4/letter/a/f07891/32.png) [@artem33region](https://discuss.elastic.co/u/artem33region)\
**Post date:** [April 5, 2019, 12:41pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/24 "2019-04-05T12:41:01Z")

</div>

Все таки нет, winlogbeat не все события отсылает...  
Как сделать конфиг, чтобы event\_id: 21, 23, 24, 25, 39 отправлялись с одним тэгом, а event\_id: 4663 с другим тэгом?

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [April 5, 2019, 1:09pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/25 "2019-04-05T13:09:04Z")

</div>

> [@artem33region](#):
>
> Все таки нет, winlogbeat не все события отсылает...

А эти события с этой машины или они были отфорвардены?

> [@artem33region](#):
>
> Как сделать конфиг, чтобы event\_id: 21, 23, 24, 25, 39 отправлялись с одним тэгом, а event\_id: 4663 с другим тэгом?

А что, конфиг выше не работает? Каким образом он не работает?

---

<div class="post-metadata">

**Author:** ![artem33region](https://avatars.discourse-cdn.com/v4/letter/a/f07891/32.png) [@artem33region](https://discuss.elastic.co/u/artem33region)\
**Post date:** [April 5, 2019, 1:19pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/26 "2019-04-05T13:19:38Z")

</div>

Да, события с этой машины, но в разных журналах.  
Отправляются только event\_id: 4663 с тэгом "storage".

---

<div class="post-metadata">

**Author:** ![Igor\_Motov](https://sea2.discourse-cdn.com/elastic/user_avatar/discuss.elastic.co/igor_motov/32/45193_2.png) [@Igor\_Motov](https://discuss.elastic.co/u/Igor_Motov)\
**Post date:** [April 5, 2019, 1:23pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/27 "2019-04-05T13:23:43Z")

</div>

А если так?

```auto
winlogbeat.event_logs:
  - name: Microsoft-Windows-TerminalServices-LocalSessionManager/Operational
    event_id: 21, 23, 24, 25, 39
    tags: ["windows"]
  - name: Security
    ignore_older: 4h
    event_id: 4663
    tags: ["storage"]
processors:
  - include_fields:
      fields: ["event_id", "host.name", "user_data.Address", "user_data.User", "tags"]

```

---

<div class="post-metadata">

**Author:** ![artem33region](https://avatars.discourse-cdn.com/v4/letter/a/f07891/32.png) [@artem33region](https://discuss.elastic.co/u/artem33region)\
**Post date:** [April 5, 2019, 1:34pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/28 "2019-04-05T13:34:41Z")

</div>

А вот так работает)  
Спасибо!

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [May 3, 2019, 1:34pm UTC](https://discuss.elastic.co/t/winlogbeat/173330/29 "2019-05-03T13:34:42Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.

[Previous page](https://discuss.elastic.co/t/winlogbeat/173330.md?page=1)