事件日志分析器中的日志搜索
最后更新于：
EventLog Analyzer 提供强大的搜索引擎，助您在调查过程中检索日志数据。您可搜索服务器收集的原始日志，并检测关键事件，例如配置错误、病毒感染、未经授权访问、异常登录、应用程序错误等。
EventLog Analyzer 提供基础与高级搜索功能，支持通配符、短语、布尔及分组搜索等查询类型。
搜索方法：基础与高级
- 转到“搜索”选项卡。
- 点击“选择设备”并选定需要搜索的设备。点击“添加”。若此字段未作任何指定，日志搜索将覆盖所有可用设备。
- 从下拉框中选择日志类型。默认选项为"所有日志类型"，搜索将覆盖所有日志类型。
- 按需选择时间段。
- 搜索帮助卡是内置指南，列出了可在搜索框中执行的查询类型。您也可观看搜索教程视频。
- 使用基础搜索输入自定义搜索字符串/条件。
- 在搜索框中输入字段值。
- 在搜索框中输入字段名和值。
- 若需通过交互式搜索构建器创建复杂搜索表达式，请点击“高级”按钮。
- 为搜索条件指定字段值。
- 点击 '+' 添加字段。点击 '⨯' 删除字段。
- 在字段间选择逻辑运算符'AND'或'OR'。
- 点击添加组以构建新的字段值集合。
- 点击添加。
- 点击搜索查看结果及结果图表。
基本搜索查询类型
使用布尔运算符：
可使用以下布尔运算符：AND、OR、NOT。
语法：<字段名>=<字段值> <布尔运算符> <字段名>=<字段值>。
示例：HOSTNAME = 192.168.117.59 AND USERNAME = guest
比较运算符：
可使用以下比较运算符：=、!=、>、<、>=、<=。
语法：<字段名> <比较运算符> <字段值>。
示例: HOSTNAME = 192.168.117.59
通配符：
可使用以下通配符：? 表示单个字符，* 表示多个字符。
语法: <字段名> = <部分字段值> <通配符>
示例: HOSTNAME = 192.*
短语：
使用双引号("")将短语指定为字段值。
语法: <字段名> = "<部分字段值>"
示例: MESSAGE = "session"
使用分组字段：
使用圆括号 () 包裹一组搜索条件，并通过布尔运算符将其与其他组或搜索条件关联。
语法: (<搜索条件组>) <布尔运算符> <搜索条件>
示例: (严重性 = 调试 OR 设施 = 用户) 且 主机名 = 192.168.117.59
Elasticsearch - 归档状态
存储于事件日志分析器 Elasticsearch 中的日志具有可自定义的保留期，超过该时限的所有日志将被删除。此外还设有归档期，超过该时限的日志将被归档并存储为 zip 文件，此举旨在提升内存利用率。
例如：若归档期设为30天，保留期设为90天，则30天内的日志可供检索，而30天至90天内的日志将被归档。
若需检索归档期（此例为30天）后的日志，需先将归档日志解归档才能进行检索。该过程耗时取决于日志大小，解归档完成后日志数据即可供检索。
- 当检索超出归档周期的日志时，系统将显示包含以下信息的提示：
可用空间、预计解归档大小、压缩包数量，以及用户是否继续解归档操作或取消该选项并返回常规检索。
- 此解归档流程适用于事件日志分析器的所有其他标签页，包括仪表板、报表、合规性、关联分析和告警。