kinana 查詢資料

term查詢是代表完全匹配，即不進行分詞器分析，文件中必須包含整個搜尋的詞彙。 term查詢返回在提供的字段中包含確切term的文件。可以使用term查詢根據精確的值（例如**，產品id或使用者名稱）查詢文件。

match也能模糊匹配，並且不區分字段值的大小寫。match模糊匹配，先對輸入進行分詞，對分詞後的結果進行查詢，文件只要包含match查詢條件的一部分就會被返回。match是用於執行全文查詢的標準查詢，包括模糊匹配和短語或接近查詢。

和match查詢類似，match_phrase查詢首先解析查詢字串來產生乙個詞條列表。然後會搜尋所有的詞條，但只保留包含了所有搜尋詞條的文件，並且詞條的位置要鄰接。match_phrase 不區分大小寫。 match_phrase用於匹配完全匹配的片語或單詞接近匹配

對於匹配了短語"quick brown fox"的文件，下面的條件必須為true：

注意：如果在查詢字串的中間有萬用字元* （開頭有*無所謂），就應該用wildcard查詢，不用match_phrase查詢。例如：

wildcard查詢不會對查詢字串分詞，也不會將查詢字串變成小寫（所以要手動將查詢字串變成小寫），file_name.keyword資料型別也不會被分詞，最後能夠匹配想要的結果。

},},}
]}}}

multi_match查詢以match查詢為基礎，以允許多欄位查詢：

如下所示，在es中new-object system.xml.xmldocument儲存的是小寫形式，但是match語句寫成大寫，依然可以查詢到相應的資料。

get logs-endpoint-winevent-*-2019.12.27/_search

},},}]

}}}wildcard 查詢時要在欄位名後面加上keyword，而且區分字段值的大小寫。如下所示：

get logs-endpoint-winevent-*-2019.12.27/_search

},},}]

}}}3、查詢多級結構時，使用點號隔開，例如：

get logs-endpoint-winevent-sysmon-2019.07.29/_search}}

}要從_source下一級字段開始，winlog就是在_source下一級字段。

4、增加查詢返回的結果條數，from/size，例如：

get logs-endpoint-winevent-sysmon-2019.11.05/_search},}
]}}}

"from" : 0, "size" : 40, 將返回從0到最大40條記錄

參考：from/size

5、aggregation

elasticsearch聚合使您能夠獲取有關搜尋結果的元資訊，並回答諸如「德克薩斯州有多少個帳戶持有人」之類的問題。或「田納西州的平均帳戶餘額是多少？」您可以在乙個請求中搜尋文件，過濾返回的結果並使用彙總分析結果。

"aggs": ,
"min_doc_count": 4}}
}

該聚合是對process_command_line欄位進行聚合，返回process_command_line欄位的值出現的次數大於等於4的情況。

6、①在kibana 的discovery頁面查詢資料，首先確定查詢時間範圍，開始時間和結束時間都可以精確到s。

注意：這裡的時間比json資料中的時間要晚8個小時。要在json資料的時間向後推遲8個小時。

② 再編寫查詢語句，還可以使用add filter 縮小查詢範圍。

③ 下面這些記錄是按照時間先後從下往上排。