кстати смотрите забавный факт, он простой но не очевидный, клауд пишет исходные обращения, а кибана уже те которые пришли с клауда, по этому поле которое на самом деле интересено а именно causerIp и его данные хреново сохраняются в кибане, их надо с заголовков дергать, именно по этому в кибане одни московские запросы, хмммм надо перенастросить и брать айпишники с заголовков, а так это все фейк