大幅优惠，更高 ROI！ 管理引擎产品的独家折扣！* 促进您的业务 *适用条款与条件

#### 帮助文档

- 首页

- 相关产品
- ADManager Plus

  AD域管理与报表

  下载 | 演示
- ADSelfService Plus

  自助密码管理

  下载 | 演示
- EventLog Analyzer

  实时日志分析与报表

  下载 | 演示
- Exchange Reporter Plus

  Exchange 服务器审计与报表

  下载 | 演示
- AD360

  集成身份与访问管理

  下载 | 演示
- Log360

  全面的SIEM和UEBA

  下载 | 演示

点击这里展开

# 搜索归档事件

“归档搜索”是一种有效的方法，可以从归档文件中跟踪特定事件。与“恢复归档事件”选项不同，该选项会将文件加载到数据库中，而这里的归档文件将被索引，因此可以进行搜索，以更快地跟踪任何特定事件。此功能还使您能够从所有日志类别中进行搜索。

注意：

- 存档文件应被索引，以便能够进行搜索或作为报表查看。
- 一旦文件被索引，可以通过同一页面左侧的链接查看报表。
- 在“搜索存档事件”中索引存档文件将在“报表”选项卡下不显示报表。要在“报表”选项卡下查看报表，请使用“恢复存档事件”链接。
- 每个日志类别最多可以索引50个文件。每个存档文件在索引时将消耗40MB到70MB的空间。
- 默认情况下，索引文件将存储在产品安装目录中，要更改它，请使用“索引文件以供搜索”页面下的“设置”链接。
- 在索引之前，请确保安装目录/配置位置有足够的可用空间。

## 如何执行存档搜索

步骤：

1. 点击“管理员”选项卡 → “搜索存档事件”。
2. 点击“索引文件以供搜索”，根据您的需求选择时间范围和日志类别。
3. 选择所需的文件（每个类别最多50个文件），然后点击操作栏中的“索引”图标 。
4. 当一个文件被安排进行索引时，该链接的状态将会在状态栏中更新。
5. 一旦文件被索引，可以通过同一页面左侧的链接查看报表（与恢复存档事件不同，一旦恢复，报表可以在“报表”选项卡下查看）。
6. 在每个报表中使用搜索框，可以精确跟踪任何特定事件。

## 存档全局搜索

该链接允许您在所有日志类别中搜索查询。当搜索一个查询时，首先会显示所有日志类别的查询结果摘要，然后可以进一步深入查看实际报表。

#### 搜索框

## 简单搜索

#### 步骤：

1. 从左侧下拉框中选择搜索字段和运算符（将鼠标悬停在左侧框上以打开下拉菜单）。

2. 在搜索框中输入搜索文本，然后点击绿色搜索图标。

   与搜索相关的报表将显示在下方。

注意：

- 搜索框支持通配符字符 * 和 ?

  例如：
  - “ad*”将获取所有以“ad”开头的文本，如admin、administrator、adon等。
  - 而“ad*n”将获取所有以“ad”开头并以“n”结尾的文本，如admin、adon等。

- 如果搜索文本包含多个由空格分隔的单词，请将其用双引号括起来。

## 高级搜索

#### 步骤：

1. 对于多个查询搜索，输入搜索文本后点击 “AND/OR” 按钮。这将打开一个高级搜索面板。

2. 在下面的搜索框中输入搜索文本，并点击“AND/OR”按钮将其附加到上述显示的查询中。

3. 为了对查询进行分组，拖动并放置括号到所需位置。

4. 要删除任何查询，将鼠标悬停在查询上以显示删除按钮。

5. 要更改操作符，请单击操作符以在操作符之间切换。
6. 一旦查询准备就绪，单击搜索按钮以获取查询的报表。

## 在此页面上

获取下载链接