FilterIndex

Se usa filterIndex para devolver solo datos indexados, obligando a una consulta a escanear solo los grupos de registros que están indexados en un campo que especifique en la consulta. Para los grupos de registros que están indexados en este campo, optimiza aún más la consulta al omitir los grupos de registros que no tienen ningún evento de registro que contenga el campo especificado en la consulta del campo indexado. Reduce aún más el volumen escaneado al intentar escanear solo los eventos de registro de estos grupos de registros que coincidan con el valor especificado en la consulta para este índice de campos. Para obtener más información sobre los índices de campo y cómo crearlos, consulteCree índices de campos para mejorar el rendimiento de las consultas y reducir el volumen de digitalización.

Su uso filterIndex con campos indexados puede ayudarle a consultar grupos de registros que incluyen petabytes de datos de registro de manera eficiente, ya que limita el espacio de búsqueda real a los grupos de registros y los eventos de registro que tienen índices de campo.

Por ejemplo, supongamos que ha creado un índice de campos para algunos de IPaddress los grupos de registros de su cuenta. A continuación, puede crear la siguiente consulta y elegir consultar todos los grupos de registros de la cuenta para buscar eventos de registro que incluyan 198.51.100.0 el valor del IPaddress campo.

fields @timestamp, @message
| filterIndex IPaddress = "198.51.100.0"
| limit 20

El filterIndex comando hace que esta consulta intente omitir todos los grupos de registros para IPaddress los que no están indexados. Además, dentro de los grupos de registros que están indexados, la consulta omite los eventos de registro que tienen un IPaddress campo pero que no se 198.51.100.0 consideran el valor de ese campo.

Utilice el IN operador para expandir los resultados a cualquiera de los múltiples valores de los campos indexados. En el siguiente ejemplo, se buscan eventos de registro que incluyen el valor 198.51.100.0 o están 198.51.100.1 en el IPaddress campo.

fields @timestamp, @message 
| filterIndex IPaddress in ["198.51.100.0", "198.51.100.1"]
| limit 20