搜索筛选器
安全数据湖 的搜索筛选器旨在帮助您定位特定日志信息。通过正确的搜索语法，您可以构建复杂查询，并混合其他筛选器的条件来优化结果。
您可将搜索筛选器保存为代码片段，通过 与 运算符与其他筛选器或查询组合使用。搜索筛选器允许您对搜索结果执行自定义操作，从而更精准地控制搜索过程。
本文介绍如何为搜索添加筛选器、创建新筛选器、保存以备后用以及与他人共享。
添加搜索筛选器
有两种方式可为搜索添加筛选器。您可以：
-
从现有筛选器集合中选择
-
创建新筛选器
从现有筛选器中选择（“我的筛选器”）
-
点击 筛选器 按钮旁的文件夹图标以打开已保存的筛选器列表。
-
从列表中选择一个搜索筛选器。
-
使用搜索字段查找特定的已保存搜索。
-
点击筛选器上的下拉箭头以展开筛选器详情。
-
按住 Shift 键可多选筛选器。
-
选择筛选器后，它将出现在搜索筛选器栏中。
创建新搜索筛选器
-
点击“+”图标打开 创建筛选器 对话框。
-
在 查询 字段中定义搜索查询以匹配目标消息。查询应使用标准查询语法。
-
（可选）为搜索筛选器添加标题和描述。此步骤虽为可选，但提供这些信息便于识别已保存的筛选器。
创建搜索筛选器时，请将筛选器保存在“我的筛选器”集合中。这些筛选器会在后续搜索中被引用，因此对其进行的任何修改都会影响所有使用该筛选器的搜索。而内联筛选器仅适用于当前搜索，编辑时无需担心影响其他搜索。
保存带筛选器的搜索
点击 保存 按钮可保存带筛选器的搜索以供将来使用。保存时，所有筛选器引用都将保留。 安全数据湖 会记住查询中使用的筛选器，并在重新加载搜索时自动应用它们。
当您需要快速调查偶发性问题以过滤无关信息时，保存的筛选条件非常实用。您可直接调用已保存的搜索筛选器生成精准结果，而无需重新创建查询。
共享包含筛选器的保存搜索时，所有有权访问该搜索的用户均可与其筛选器交互——即使这些筛选器是被引用的状态。
将筛选器共享给其他用户（通过您的个人权限或管理权限），允许他们直接编辑该筛选器。
共享已保存的筛选器
共享的搜索筛选器既能促进团队协作，也有助于在组织内部分享最佳实践。例如：团队可能希望将故障排查专用的筛选器共享给其他组，或组织可能需要向全体用户共享一个高亮重要日志数据的筛选器。
共享已保存搜索筛选器的步骤：
-
点击文件夹图标并选择要共享的已保存筛选器。
-
点击目标筛选器的下拉菜单，然后从选项列表中选择 共享 。
-
在弹出窗口中搜索并选择共享对象，设置其访问权限级别。
-
点击 添加协作者 ，再点击 更新共享设置 .
管理搜索筛选器
禁用与启用
点击筛选器标题复选框即可禁用/启用筛选器。删除线标记表示该筛选器已禁用。
禁用的筛选器仍会保留在已保存搜索中。
从结果中排除/包含
若要从搜索结果中排除指定筛选器的查询条件，请选中目标筛选器，展开其关联的下拉菜单，点击 从结果中排除 .
此操作会为筛选器查询添加 NOT 运算符。
编辑搜索筛选器
应用筛选器后仍可进行编辑：
-
点击 编辑 从搜索筛选器名称旁的下拉菜单中选择按钮。
编辑搜索筛选器（保存在 我的筛选器 中）会影响所有使用该筛选器的搜索。为避免此情况，请勾选 为当前搜索创建副本 复选框以创建内联筛选器。
-
根据需要更新查询、标题和描述。
-
点击 保存 以更新 我的筛选器 .
您还可以通过从筛选器的下拉菜单中选择 我的筛选器 将已创建的内联筛选器保存至 保存至“我的筛选器” 。
此菜单中的其他操作包括：
-
移除 ：该选项将筛选器从搜索中移除。
-
复制查询到剪贴板 ：该选项将筛选器查询复制到剪贴板。
确定搜索筛选器使用情况
了解筛选器使用信息的最佳方式是导航至 我的筛选器 页面。您可以通过选择 企业 ，然后 我的搜索筛选器 本页面提供所有引用搜索筛选器的实体概览，包括已保存的搜索、仪表板小组件、事件定义及Sigma规则。您亦可在此页面查看已保存搜索筛选器的更多详情，或进行分享、编辑、删除等操作。
当尝试编辑或删除已保存的搜索查询时，系统将弹出通知，提示该查询正被某个已保存的搜索引用，且筛选器的任何修改都会影响所有引用该查询的搜索结果。