FilterIndex comparado con el filtro

Para ilustrar la diferencia entre filterIndex yfilter, considere las siguientes consultas de ejemplo. Suponga que ha creado un índice de campos para IPaddress cuatro de sus grupos de registros, pero no para un quinto grupo de registros. La siguiente consulta que filterIndex se utilice omitirá la exploración del grupo de registros que no tiene el campo indexado. Para cada grupo de registros indexado, intenta escanear solo los eventos de registro que tienen el campo indexado y, además, solo devuelve los resultados de una vez creado el índice de campos.

fields @timestamp, @message 
| filterIndex IPaddress = "198.51.100.0" 
| limit 20

Por el contrario, si utiliza en filter lugar de filterIndex una consulta de los mismos cinco grupos de registros, la consulta intentará analizar no solo los eventos de registro que contienen el valor de los grupos de registros indexados, sino que también analizará el quinto grupo de registros que no esté indexado y analizará todos los eventos de registro de ese quinto grupo de registros.

fields @timestamp, @message 
| filter IPaddress = "198.51.100.0" 
| limit 20