Справедливости ради, CEF действительно небольшие должны быть: https://docs.elastic.co/en/integrations/cef Но совсем необязательно совпадающие

Question

Справедливости ради, CEF действительно небольшие должны быть: https://docs.elastic.co/en/integrations/cef Но совсем необязательно совпадающие

по размеру с сетевыми пакетами, прямой связи тут вообще нет. Вы лучше считайте сколько самописная прога отправляет.

Ну и второй момент:

> в кибане отображаются те же 40 тысяч пакетов, но кибана показывает 24 тысячи документов

Вот это что значит? Где там отображаются пакеты и где документы?

0

22.05.2023

7 ответов

26 просмотров

Russo

Извините, возможно не так выразился. Я имел в виду что в каждом пакете в одном поле есть счётчик и в нем значение 40 тысяч, то есть все пакеты с генератора пакетов дошли до elk и отобразились в кибане.

0

22.05.2023

Вячеслав Автор вопроса

Russo
Извините, возможно не так выразился. Я имел в виду...

Вообще-то нет, это значит что самый последний пакет со значением 40000 дошёл, сколько предыдущих потерялось - это другой вопрос.

0

22.05.2023

Наиль Башмаков

Russo
Извините, возможно не так выразился. Я имел в виду...

проверьте количество документов в индексе, если их 40к - значит всё дошло

0

22.05.2023

Russo

Вячеслав
Вообще-то нет, это значит что самый последний паке...

Судя по счётчиком пакеты не потерялись, все 40 тыс дошли. Просто количество документов во временном промежутке в котором работал генератор пакетов значение hits в разделе discovery меньше. Но судя по тому что тут подсказали это норма, осталось понять механизм подсчёта этих hits

0

22.05.2023

Вячеслав Автор вопроса

Russo
Судя по счётчиком пакеты не потерялись, все 40 тыс...

До куда дошли? До сетевого интерфейса возможно. До индекса в эластике, судя по всему, нет. Впрочем, может у вас там реально фильтр по времени стоит в кибане и показывает меньший промежуток, чем нужно.

0

22.05.2023

Russo

Вячеслав
До куда дошли? До сетевого интерфейса возможно. До...