filterIndex comparado ao filtro

Para ilustrar a diferença entre filterIndex efilter, considere os seguintes exemplos de consultas. Suponha que você tenha criado um índice de campo para quatro de seus grupos de registros, mas não para um quinto grupo de registros. IPaddress O uso da consulta a seguir filterIndex ignorará a verificação do grupo de registros que não tem o campo indexado. Para cada grupo de registros indexados, ele tenta verificar somente os eventos de registro que tenham o campo indexado e também retorna somente os resultados após a criação do índice do campo.

fields @timestamp, @message 
| filterIndex IPaddress = "198.51.100.0" 
| limit 20

Por outro lado, se você usar em filter vez de filterIndex para uma consulta dos mesmos cinco grupos de registros, a consulta tentará verificar não apenas os eventos de registro que contêm o valor nos grupos de registros indexados, mas também examinará o quinto grupo de registros que não está indexado e examinará todos os eventos de registro desse quinto grupo de registros.

fields @timestamp, @message 
| filter IPaddress = "198.51.100.0" 
| limit 20