4.3 查看搜索结果

搜索返回一组事件。用户可以查看基本的或详细的事件信息,并配置每页显示的结果数量。搜索结果成批返回。默认批大小为 25 个结果,但可以容易配置它。

4.3.1 基本事件视图

每个事件中的信息分组到“发起人信息”和“目标信息”中。如果特定事件字段中数据不可用,则字段标记为“未知”

图 4-2 基本事件视图

搜索引擎有时对事件编制索引可能会比将其插入到数据库中要快。如果用户运行的搜索返回未插入到数据库中的事件,用户则会收到一则信息,指出某些事件与搜索查询匹配,但在数据库中找不到该事件。一般来说,如果稍后再次运行该搜索,事件则会位于数据库中,搜索也会成功。

图 4-3 已对事件编制索引,但事件尚不在数据库中。

4.3.2 具有详细信息的事件视图

用户可以单击页面右侧的“详细信息”链接以查看任何事件的更多详细信息。使用“所有详细信息++”或“所有详细信息--”链接可以展开或折叠页面上所有事件的详细信息。当您查看多个结果页面或执行新搜索时,此选择将保留。

图 4-4 具有详细信息的事件视图

以上事件显示图 4-2中的同一事件,但包含其中显示可能已填充的其他数据字段的扩展视图。

4.3.3 优化搜索结果

查看搜索结果后,可能需要优化搜索结果和添加更多搜索条件。例如,您可能看到一个发起人用户的名称在搜索结果中多次显示,并且希望查看该发起人的更多事件。

使用搜索结果中出现的特定值筛选搜索结果:

  1. 确定搜索结果中所需的过滤条件。

  2. 单击要通过其筛选结果的值(例如,目标主机名 test1900)。

    提示:这会将值添加到包含 AND 运算符的筛选器中。若要将值添加到包含 NOT 运算符的筛选器中,请在单击该值的同时按 Alt 键。

  3. 单击搜索

选择某些值并不能这样优化搜索:

  • 事件时间

  • 讯息

  • 与报告者相关的任意字段

  • 与观察者相关的任意字段

  • 包含未知值的任意字段