[发明专利]一种基于大数据存储的检索分析方法、装置及介质

权利要求书

1.一种基于大数据存储的检索分析方法，其特征在于，方法包括：

接收字段查询信息；

根据所述字段查询信息在存储数据中搜索对应的现场可搜索事件，其中，所述现场可搜索事件为一个或多个信息技术系统的安全性或性能方面的活动事件；

生成所述对应的现场可搜索事件的子集；

识别所述子集中一个或多个事件中的字段，并确定上述字段存在的唯一值的个数；

显示所选的字段名称和所述唯一值的个数，其中，所述字段名称为可在查询信息中引用的字段的字段名称；

所述存储数据，包括：多组现场可搜索事件，其中，

各组现场可搜索事件中的每个事件均与时间戳关联；

各组现场可搜索事件中的每个事件均包括反映一个或多个信息技术系统中活动的机器数据；

各组现场可搜索事件中至少一个事件包括反映一个或多个信息技术系统中活动的日志数据；

各组现场可搜索事件中至少一个事件包括非结构化数据。

2.根据权利要求1所述的基于大数据存储的检索分析方法，其特征在于，所述字段查询信息，包括但不限于：字段的值标准、和/或关键字的标准、和/或时间范围。

3.根据权利要求1所述的基于大数据存储的检索分析方法，其特征在于，还包括：

显示具有字段并且存在于子集事件中的两个或更多个事件的信息，其中，所述两个或更多个事件以对应于字段的排序进行顺序显示。

4.根据权利要求2所述的基于大数据存储的检索分析方法，其特征在于，所述字段的值标准，其中，所述字段存在于一组字段可搜索事件中的一个或多个事件中。

5.根据权利要求2所述的基于大数据存储的检索分析方法，其特征在于，所述关键字的标准，具体为：要求匹配事件具有特定关键字的标准。

6.一种基于大数据存储的检索分析装置，应用于如权利要求1-5任一所述的检索分析方法，其特征在于，包括：

查询接收器，用于接收字段查询信息；

查询执行器，用于根据所述字段查询信息在存储数据中搜索对应的现场可搜索事件，其中，所述现场可搜索事件为一个或多个信息技术系统的安全性或性能方面的活动事件；生成所述对应的现场可搜索事件的子集；识别所述子集中一个或多个事件中的字段，并确定上述字段存在的唯一值的个数；

字段选择器，用于选择并显示字段名称和所述唯一值的个数，其中，所述字段名称为可在查询信息中引用的字段的字段名称。

7.根据权利要求6所述的基于大数据存储的检索分析装置，其特征在于，还包括：数据存储器，用于存储多组现场可搜索事件。

8.根据权利要求6所述的基于大数据存储的检索分析装置，其特征在于，所述字段选择器，还用于显示现场可搜索事件的子集中的一个或多个事件的信息。

9.一种计算机可读存储介质，其上存储计算机程序指令，其特征在于，所述计算机程序指令在被处理器执行时实现如权利要求1-5中任一项所述的方法。