使用时间在一个索引中发生事件，并使用它作为在另一个索引中筛选事件的起点。

Question

执行以下搜索的最有效方法是什么？

1. 事件在索引A上发生
2. 取X时间作为索引B
3. 中的起点搜索索引B中所有字段的出现，并在索引A

发生的初始事件时间5分钟后添加过滤器

使用Windows的示例:在成功地通过事件ID 4624 (index="security")登录主机上的特定用户之后，搜索该特定主机上发生在登录事件后5分钟窗口中的所有SysmonEventID1 (index=" Sysmon ")进程创建事件。我的愿景是检查特定主机上的用户登录，并在短时间内关联后续流程创建事件。

我一直在尝试使用join、stats (_time)和，但没有取得任何成功。任何帮助/指示都将不胜感激！

Answer 1

你试过map了吗？map命令运行对另一个搜索的每个结果的搜索。例如：

index=security sourcetype=wineventlog EventCode=4624
```Set the latest time for the map to event time + 5 minutes (300 seconds)```

伊娃latest=_time+300

Search=地图“搜索index=sysmon host=$host$ earliest=$_time$ latest=$latest$”

$中的名称是主搜索中的字段名。