Elasticsearch SIEM不工作，但EQL查询没有问题

Question

我的麋鹿在码头上跑有问题。我在tls和http上创建了ssl，并尝试进行简单的EQL-查询：

sequence by winlog.computer_name 
[iam where event.code == "4720"] 
[iam where event.code == "4726"]

当我点击显示结果时，我会看到点击预演结果

但当我试图重现警报时，索引中的点击率为零

..siem信号-默认-*

我收到了一些来自elasticsearch-容器的警告：

{“类型”：“服务器”，“时间戳”："2021-10-25T12:37:33,433Z"，“级别”：“警告”，“组件”："o.e.x.s.t.n.SecurityNetty4HttpServerTransport"，"cluster.name"：“弹性停靠-集群”，"node.name"：“弹性停靠-节点-0”，“消息”：“在https信道上接收明文http通信，关闭连接Netty4HttpChannel{localAddress=/172.20.0.5:9200，”。远程地址=/172.20.0.2:43450}，"cluster.uuid"："oZsivcyzROWSooXVIPzbKQ"，"node.id"："KIjWJ0OjSW-lYt51cO8ViQ“}

问题出在哪里？有什么想法吗？

Answer 1

这有助于：

PUT /_cluster/settings
{
  "persistent" : {
    "xpack" : {
      "monitoring" : {
        "migration" : {
          "decommission_alerts" : "true"
        }
      }
    }
  },
  "transient" : { }
}