4.3 檢視搜尋結果

搜尋會傳回一組事件。使用者可以檢視基本或詳細事件資訊,以及組態每頁的結果數目。搜尋結果是以批次方式傳回。預設批次大小是 25 個結果,但您可以輕鬆地設定批次大小。

4.3.1 基本事件檢視

每個事件的資訊會根據啟始者資訊與目標資訊分組顯示。若特定事件欄位沒有資料可用,則該欄位會標示為「不明」。

圖 4-2 基本事件檢視

有時搜尋引擎為事件編製索引的速度可能比事件插入資料庫的速度還快。若使用者執行會傳回尚未插入資料庫之事件的搜尋,系統會顯示訊息通知使用者某些事件符合搜尋查詢,但在資料庫找不到那些事件。一般而言,若稍後再執行搜尋,就可以在資料庫中找到事件而且搜尋會成功。

圖 4-3 已經為事件編製索引,但事件尚未儲存至資料庫

4.3.2 包含詳細資料的事件檢視

使用者可以點選頁面右邊的「詳細資料」連結,以檢視關於任何事件的其他詳細資料。使用「所有詳細資料++」或「所有詳細資料--」連結則可以展開或摺疊頁面上所有事件的詳細資料。當您在多個搜尋結果頁面之間翻頁或執行新查詢時,會保留此優先設定。

圖 4-4 包含詳細資料的事件檢視

上面的事件顯示與圖 4-2 相同的事件,但具有展開的檢視,其中顯示可能已填入內容的額外資料欄位。

4.3.3 縮小搜尋結果範圍

檢視搜尋結果之後,您可能想要加入其他搜尋準則以縮小搜尋結果範圍。例如,您可能會看到一個啟始者使用者的名稱在搜尋結果中出現數次,而且想要檢視更多來自該啟始者的事件。

使用搜尋結果中顯示的特定值過濾搜尋結果:

  1. 在搜尋結果中指出想要的過濾準則。

  2. 點選要據以過濾結果的值 (例如,「目標主機名稱測試 1900」)。

    提示:這樣會使用 AND 運算子將值新增至您的過濾條件。若要使用 NOT 運算子將值新增至您的過濾條件,請按住 Alt 鍵再點選值。

  3. 點選「搜尋」。

對於某些欄位,您無法使用此方式來縮小查詢範圍:

  • EventTime

  • 訊息

  • 任何與「報告人」相關的欄位

  • 任何與「觀察者」相關的欄位

  • 任何具有「不明」值的欄位