本地 云
下载PDF
此功能适用于 EventLog Analyzer、Log360 和 Log360 Cloud

# 事件日志分析器中的日志搜索

最后更新于：2025年9月12日

在此页面

- 搜索方法：基本搜索与高级搜索
- 基础搜索查询类型
- Elasticsearch - 取消归档状态

EventLog Analyzer 提供强大的搜索引擎，助您在调查过程中检索日志数据。您可搜索服务器收集的原始日志，并检测关键事件，例如配置错误、病毒感染、未经授权访问、异常登录、应用程序错误等。

EventLog Analyzer 提供基础与高级搜索功能，支持通配符、短语、布尔及分组搜索等查询类型。

## 搜索方法：基础与高级

1. 转到“搜索”选项卡。
2. 点击“选择设备”并选定需要搜索的设备。点击“添加”。若此字段未作任何指定，日志搜索将覆盖所有可用设备。
3. 从下拉框中选择日志类型。默认选项为"所有日志类型"，搜索将覆盖所有日志类型。
4. 按需选择时间段。
5. 搜索帮助卡是内置指南，列出了可在搜索框中执行的查询类型。您也可观看搜索教程视频。
6. 使用基础搜索输入自定义搜索字符串/条件。

- 在搜索框中输入字段值。
- 在搜索框中输入字段名和值。

7. 若需通过交互式搜索构建器创建复杂搜索表达式，请点击“高级”按钮。

- 为搜索条件指定字段值。
- 点击 '+' 添加字段。点击 '⨯' 删除字段。
- 在字段间选择逻辑运算符'AND'或'OR'。
- 点击添加组以构建新的字段值集合。
- 点击添加。

8. 点击搜索查看结果及结果图表。

注意：结果图表仅显示两周内的数据。

## 基本搜索查询类型

#### 使用布尔运算符：

可使用以下布尔运算符：AND、OR、NOT。

语法：<字段名>=<字段值> <布尔运算符> <字段名>=<字段值>。

示例：HOSTNAME = 192.168.117.59 AND USERNAME = guest

#### 比较运算符：

可使用以下比较运算符：=、!=、>、<、>=、<=。

语法：<字段名> <比较运算符> <字段值>。

示例: HOSTNAME = 192.168.117.59

#### 通配符：

可使用以下通配符：? 表示单个字符，* 表示多个字符。

语法: <字段名> = <部分字段值> <通配符>

示例: HOSTNAME = 192.*

#### 短语：

使用双引号("")将短语指定为字段值。

语法: <字段名> = "<部分字段值>"

示例: MESSAGE = "session"

#### 使用分组字段：

使用圆括号 () 包裹一组搜索条件，并通过布尔运算符将其与其他组或搜索条件关联。

语法: (<搜索条件组>) <布尔运算符> <搜索条件>

示例: (严重性 = 调试 OR 设施 = 用户) 且 主机名 = 192.168.117.59

## Elasticsearch - 归档状态

存储于事件日志分析器 Elasticsearch 中的日志具有可自定义的保留期，超过该时限的所有日志将被删除。此外还设有归档期，超过该时限的日志将被归档并存储为 zip 文件，此举旨在提升内存利用率。

例如：若归档期设为30天，保留期设为90天，则30天内的日志可供检索，而30天至90天内的日志将被归档。

若需检索归档期（此例为30天）后的日志，需先将归档日志解归档才能进行检索。该过程耗时取决于日志大小，解归档完成后日志数据即可供检索。

注意

1. 当检索超出归档周期的日志时，系统将显示包含以下信息的提示：

   可用空间、预计解归档大小、压缩包数量，以及用户是否继续解归档操作或取消该选项并返回常规检索。

2. 此解归档流程适用于事件日志分析器的所有其他标签页，包括仪表板、报表、合规性、关联分析和告警。