安全数据搜索
安全数据搜索
安全数据搜索
数据搜索可对数据进行实时搜索分析，通过关键字查询来搜索匹配的日志事件。
鼠标点击平台左上侧导航栏__安全数据搜索__，页面直接跳转至搜索界面。
图 81搜索入口
可在搜索页面搜索框中输入SPL语句，搜索数据。
图 82搜索页面
搜索方式
平台支持__高级搜索__和__简单搜索__两种方式进行日志搜索，高级搜索使用SPL搜索语句，优点是搜索速度快，制作丰富的分析场景；简单搜索使用搜索框下方可指定常用字段，进行全文检索。
·SPL详细搜索语法请参阅《SPL搜索指南》
·高级搜索效率要比简单搜索高，且性能消耗低。在常规操作中，建议选择高级搜索
搜索时间范围选择支持多种区间选择，并支持自定义时间区间。
图 83搜索语法与时间范围选择
数据展现
搜索结果可选择原始”、“列表”、“表格”形式进行数据展现，默认为“列表”展示形式，数据展示区别如下：
- __原始：__为直接展示数据原始日志
- __表格：__展示预先选择字段
- __列表：__返回两个字段：时间、事件，对应的内容分别为日志时间和数据信息
图 84搜索结果
已选字段Top10内容排名
搜索结果返回后，左侧【已选字段】列表中的字段可直接点击查看该字段当前命中结果的内容分布。点击某个已选字段（例如 src_ip）后，页面弹出该字段的前十内容排名，展示值、计数和占比，便于快速定位高频源地址、目标地址或设备等关键字段。
执行搜索 → 在左侧【已选字段】中点击目标字段 → 查看弹出的前十内容排名（值 / 计数 / %）
说明：排名基于当前搜索条件与时间范围内的结果统计；空值也会参与统计。点击排名中的具体值，可进一步将该值带入搜索条件做下钻。
图 已选字段Top10内容排名
搜索结果主体
搜索结果返回可自定义每页显示条数，支持每页10个、20个、50个的返回结果展示形式。
鼠标点击【下箭头】按钮，可查看日志的原始日志信息（字段_raw_log）和已标准化后的字段信息。
·字段ana_status为标准化是否成功的字段，ana_status为failure为标准化失败，ana_status为success是标准化成功
鼠标点击字段内容，可直接传参至搜索框，进行同类事件下钻搜索。
图 85搜索结果主题
搜索保存及调用
对常用搜索语句可搜索保存，以便下次调用。鼠标点击【搜索】按钮右侧的【保存】按钮，页面弹出搜索保存模态框，填写搜索名称，点击【确认】按钮，完成搜索保存操作。
图 86搜索保存
搜索调用功能支持对已保存的搜索名检索、已保存搜索语句查看操作。鼠标点击【搜索】按钮右侧【搜索调用】按钮。页面弹出搜索调用页面。
图 87搜索调用
可在搜索调用页面，对保存的搜索进行查看、检索、编辑、删除操作。
图 88搜索调用
使用示例
使用场景：需要检索近15分钟内某源 IP 的日志，并查看 src_ip 前十排名。
进入【安全数据搜索】，时间选择近15分钟，输入源地址条件后点击搜索。
在结果区核对命中日志条数与关键字段。
点击左侧【已选字段】中的 src_ip，查看前十内容排名。