Z
0_о
Size: a a a
2020 April 23
Z
хм...по ходу корректно 196.0/22
m
хм...по ходу корректно 196.0/22
Ага
Z
сцук
Z
я же говорю спать надо
v
неа, нужно указать es_backup_tool -cmd deleteindex –host es.example.com --index ptsiem_r_2019-*
Дошли руки попробовать, не работает по маске
v
/opt/estools/bin/es_backup_tool -cmd deleteindex -host localhost --index ptsiem_r_2019-* ничего не удаляет(
v
нет, возможно ес тулзы из 22 будут работать с 21, но надо мне самому проверить.
а может кто поделиться estools из 22 пожалуйста?
A
/opt/estools/bin/es_backup_tool -cmd deleteindex -host localhost --index ptsiem_r_2019-* ничего не удаляет(
В 23 только попало это.
A
а может кто поделиться estools из 22 пожалуйста?
Есть у меня. Напишу в личку.
Д
Коллеги, кто-нибудь занимался нормализацией событий для opseclog?
Возникла сложность: сырое событие содержит поля с символом ":" в имени, например "ОМ:"
Кто-нибудь знает, возможно ли их как-то обработать?
Возникла сложность: сырое событие содержит поля с символом ":" в имени, например "ОМ:"
Кто-нибудь знает, возможно ли их как-то обработать?
m
Дмитрий
Коллеги, кто-нибудь занимался нормализацией событий для opseclog?
Возникла сложность: сырое событие содержит поля с символом ":" в имени, например "ОМ:"
Кто-нибудь знает, возможно ли их как-то обработать?
Возникла сложность: сырое событие содержит поля с символом ":" в имени, например "ОМ:"
Кто-нибудь знает, возможно ли их как-то обработать?
А можно пример сырого? можно анонимизированный и в личку
MG
/opt/estools/bin/es_backup_tool -cmd deleteindex -host localhost --index ptsiem_r_2019-* ничего не удаляет(
Попробуй использовать xargs, я писал выше как я удалял утилитой индексы по маске
MG
Выводил список всех индексов, грепал нужные, и через ксаргс передавал на удаление, все работает
VK
Подскажите, пожалуйста, чем может быть вызвана такая ошибка при условии, что в правиле корреляции вообще не используются списки?
RS
Подскажите, пожалуйста, чем может быть вызвана такая ошибка при условии, что в правиле корреляции вообще не используются списки?
это похоже на нарушение уникальности какого-то идентификатора в списке правил
вы не копипастом существующее меняете?
вы не копипастом существующее меняете?
VK
Правило само с нуля пишется, но я заимствовала один фрагмент в части emit, да. Правда, уникальным он мне никак не кажется.
VK
Идентификатор - это $id который?
RS
ещё correlation_name
RS
у вас какой релиз?