8、高级搜索示例详解

高级搜索示例详解

在数据搜索和分析的过程中，我们常常会遇到各种复杂的需求，需要运用不同的搜索技巧和命令来高效地获取所需信息。本文将详细介绍一些高级搜索示例，包括子搜索、嵌套子搜索、事务命令的使用以及并发计算等内容。

1. 子搜索的使用

在繁忙的邮件服务器上，普通搜索可能会检索出数百万个事件，然后丢弃大部分工作。为了更有效地利用索引，子搜索可以发挥重要作用。

例如，我们要查找来自 mary@companyx.com 的邮件相关信息，使用子搜索的查询如下：

[search sourcetype=mail from=mary@companyx.com | fields msgid] 
  sourcetype=mail to

具体步骤如下：
1. 运行方括号内的搜索：

sourcetype=mail from=mary@companyx.com

根据示例事件，会定位到两个事件：

2012-04-20 13:07:03 msgid=123456 from=mary@companyx.com
2012-04-20 13:07:06 msgid=234567 from=mary@companyx.com

2. | fields msgid 指示子搜索仅返回 msgid 字段。实际上，子搜索结果会作为 OR 语句添加到外部搜索