搜索返回一组事件。用户可以查看基本的或详细的事件信息,并配置每页显示的结果数量。搜索结果成批返回。默认批大小为 25 个结果,但可以容易配置它。
每个事件中的信息分组到“发起人信息”和“目标信息”中。如果特定事件字段中数据不可用,则字段标记为“未知”。
图 4-2 基本事件视图
搜索引擎有时对事件编制索引可能会比将其插入到数据库中要快。如果用户运行的搜索返回未插入到数据库中的事件,用户则会收到一则信息,指出某些事件与搜索查询匹配,但在数据库中找不到该事件。一般来说,如果稍后再次运行该搜索,事件则会位于数据库中,搜索也会成功。
图 4-3 已对事件编制索引,但事件尚不在数据库中。
用户可以单击页面右侧的“详细信息”链接以查看任何事件的更多详细信息。使用“所有详细信息++”或“所有详细信息--”链接可以展开或折叠页面上所有事件的详细信息。当您查看多个结果页面或执行新搜索时,此选择将保留。
图 4-4 具有详细信息的事件视图
以上事件显示图 4-2中的同一事件,但包含其中显示可能已填充的其他数据字段的扩展视图。
查看搜索结果后,可能需要优化搜索结果和添加更多搜索条件。例如,您可能看到一个发起人用户的名称在搜索结果中多次显示,并且希望查看该发起人的更多事件。
使用搜索结果中出现的特定值筛选搜索结果:
确定搜索结果中所需的过滤条件。
单击要通过其筛选结果的值(例如,目标主机名 test1900)。
提示:这会将值添加到包含 AND 运算符的筛选器中。若要将值添加到包含 NOT 运算符的筛选器中,请在单击该值的同时按 Alt 键。
单击
。选择某些值并不能这样优化搜索:
事件时间
讯息
与报告者相关的任意字段
与观察者相关的任意字段
包含未知值的任意字段