Filter ermöglichen es Ihnen, die von einer Abfrage zurückgegebenen Daten zu reduzieren und zu kontrollieren, indem nur die Datensätze angezeigt werden, die bestimmte Bedingungen erfüllen. Sie sind eines der wichtigsten Werkzeuge im Query Builder, da sie Ihnen helfen, von großen Protokollmengen zu konkreten, verständlichen Informationen zu gelangen.
Jeder Filter wird auf ein Feld der ausgewählten Sammlung angewendet und verwendet einen Operator, der definiert, wie der Wert des Feldes mit dem von Ihnen eingegebenen Wert verglichen wird.
Wie Filter funktionieren
Ein Filter besteht immer aus drei Teilen:
- Feld: auf welche Daten Sie filtern (IP, Statuscode, Domain, Datum, Benutzer, usw.)
- Operator: wie der Wert verglichen wird (gleich, enthält, größer als, usw.)
- Wert: wonach Sie suchen oder was Sie ausschließen möchten
Beispiel:
- Feld: Statuscode
- Operator: =
- Wert: 500
Ergebnis: Es werden nur Datensätze mit dem Fehler 500 angezeigt.
Wie Filter kombiniert werden
Alle Filter in ConnectiLogs arbeiten als kumulative Bedingung (logisches UND):
- Ein Datensatz wird nur angezeigt, wenn er alle Filter gleichzeitig erfüllt.
Beispiel:
- Statuscode = 500
- Domain = mydomain.com
Ergebnis: Sie sehen nur 500-Fehler von dieser spezifischen Domain.
Arten von Filtern
Gleich-Filter (=)
Der Operator gleich (=) ist der grundlegendste Filter und gleichzeitig einer der wichtigsten in ConnectiLogs. Er wird verwendet, um nur Datensätze auszuwählen, deren Wert exakt mit dem von Ihnen definierten Wert übereinstimmt, ohne Abweichungen, Teilübereinstimmungen oder Interpretationen zuzulassen.
Es ist ein strikter Vergleichsoperator: Was Sie eingeben, ist genau das, wonach gesucht wird.
Wenn Sie einen Filter mit dem Gleich-Operator anwenden, durchsucht ConnectiLogs alle Datensätze im ausgewählten Feld und gibt nur diejenigen zurück, die diese exakte Bedingung erfüllen:
- Feldwert = Filterwert
Unterschiede im Format, zusätzlicher Text, zusätzliche Leerzeichen oder Abweichungen sind nicht erlaubt.
Grundlegendes Beispiel:
Wenn Sie mit der Sammlung der Zugriffsprotokolle arbeiten und nur Serverfehler sehen möchten:
- Feld: Statuscode
- Operator: =
- Wert: 500
Das Ergebnis wird sein:
Sie sehen nur Datensätze, deren Statuscode exakt 500 ist.
Die folgenden werden automatisch ausgeschlossen:
- 404 (nicht gefunden)
- 200 (ok)
- 301 (Weiterleitung)
- jeder andere Wert
Eigenschaften
- Exakte Übereinstimmung (100 %)
- Erlaubt keine Abweichungen oder Muster
- Erkennt keine „teilweise korrekten“ Werte
- Reduziert den Datensatz sehr kontrolliert
Häufige Fehler bei der Verwendung von "="
Bei der Arbeit mit diesem Operator werden oft einige häufige Fehler gemacht:
- Annahme, dass er Teilübereinstimmungen einschließt (tut er nicht)
- Nichtbeachtung von Formatunterschieden (www vs. ohne www, Groß-/Kleinschreibung, usw.)
- Verwendung, wenn Sie eigentlich einen "like"-Filter benötigen
- Vergessen, dass der Wert exakt mit dem in der Sammlung gespeicherten übereinstimmen muss
Ungleich-Filter (!=)
Der Operator ungleich (!=) ist das direkte Gegenstück zum Gleich-Operator. Er wird verwendet, um alle Datensätze auszuschließen, deren Wert exakt mit dem von Ihnen angegebenen Wert übereinstimmt, und zeigt nur diejenigen an, die unterschiedlich sind.
Es ist ein negativer Filteroperator: Anstatt zu definieren, was Sie sehen möchten, definieren Sie, was Sie aus dem Ergebnis entfernen möchten.
Wie funktioniert er?
Wenn Sie einen Filter mit != anwenden, bewertet ConnectiLogs jeden Datensatz im ausgewählten Feld und schließt ihn nur ein, wenn:
- Feldwert != Filterwert
Mit anderen Worten: Jede exakte Übereinstimmung mit dem angegebenen Wert wird automatisch aus der Abfrage ausgeschlossen.
Grundlegendes Beispiel:
Wenn Sie Statuscodes in Zugriffsprotokollen analysieren:
- Feld: Statuscode
- Operator: !=
- Wert: 500
Das Ergebnis wird sein:
Sie sehen alle Datensätze außer denen mit dem Fehler 500.
Dies schließt ein:
- 200 (ok)
- 404 (nicht gefunden)
- 301 (Weiterleitung)
- jeden anderen Code außer 500
Eigenschaften:
- Exakter Ausschluss von Werten
- Funktioniert als inverser Filter zu "="
- Reduziert den Datensatz durch Entfernen von bekanntem Rauschen
- Sehr nützlich für vergleichende Analysen
- Erlaubt keine Teilübereinstimmungen
Häufige Fehler bei der Verwendung von !=
- Verwendung, wenn Sie eigentlich mehrere Werte ausschließen möchten (besser not in verwenden)
- Verwechslung mit Teilfiltern (funktioniert nicht mit "like"-Übereinstimmungen)
- Vergessen, dass er nur exakte Übereinstimmungen ausschließt, nicht Abweichungen des Werts
Enthält-Filter (like) und enthält nicht (not like)
Die Operatoren like und not like werden verwendet, um Textfelder zu filtern, wenn Sie nicht nach einer exakten Übereinstimmung suchen, sondern nach Mustern oder Textfragmenten innerhalb eines Werts. Sie sind besonders nützlich in ConnectiLogs, da viele Felder (wie Domains, Pfade, Benutzer oder User Agents) strukturierte Informationen enthalten, bei denen Sie nicht immer den vollständigen Wert kennen.
Wie funktionieren sie?
Im Gegensatz zum Gleich-Operator (=), der eine exakte Übereinstimmung erfordert, erlaubt like Teilübereinstimmungen, d.h. das Auffinden von Datensätzen, bei denen der Text innerhalb des Feldwerts erscheint.
- like: schließt Übereinstimmungen ein, die das Muster enthalten
- not like: schließt Übereinstimmungen aus, die das Muster enthalten
Verwendung des %-Platzhalters
Das Verhalten von like und not like wird durch das Symbol % gesteuert, das als Platzhalter fungiert. Dies zeigt an, dass an dieser Stelle beliebiger Text stehen kann.
Dies ermöglicht es Ihnen, drei Arten von Suchen zu definieren:
Enthält Text an beliebiger Stelle
- Muster: %text%
Sucht nach Datensätzen, bei denen "text" an beliebiger Stelle im Wert erscheint.
Beispiel:
- Filter: domain like %mydomain%
Ergebnis:
- mydomain.com
- api.mydomain.net
- test.mydomain123.es
Beginnt mit Text
- Muster: text%
Sucht nach Werten, die exakt mit diesem Text beginnen.
Beispiel:
- Filter: domain like mydomain%
Ergebnis:
- mydomain.com
- mydomain.net
- mydomain-api.com
Würde nicht einschließen:
- api.mydomain.com
- testmydomain.com
Endet mit Text
- Muster: %text
Sucht nach Werten, die mit diesem Text enden.
Beispiel:
- Filter: domain like %mydomain
Ergebnis:
- api.mydomain
- test.mydomain
- logs.mydomain
Würde nicht einschließen:
- mydomain.com
- mydomain.net
Was macht not like?
Der Operator not like funktioniert genauso wie like, nur umgekehrt: er schließt alle Datensätze aus, die das angegebene Muster enthalten.
Beispiel für not like
- Feld: User Agent
- Operator: not like
- Wert: %bot%
Ergebnis:
Alle Datensätze, deren User Agent "bot" enthält, werden ausgeschlossen, zum Beispiel:
- googlebot
- bingbot
- jeder Crawler oder jedes automatisierte Skript
Und die folgenden werden beibehalten:
- echte Browser
- menschlicher Traffic
- andere Agents, die nicht mit Bots in Verbindung stehen
Wann sollte man like und not like verwenden?
Verwenden Sie like, wenn:
- Sie den exakten Wert des Feldes nicht kennen
- Sie Varianten desselben Konzepts gruppieren möchten
- Sie strukturierte Texte analysieren (Domains, Pfade, Protokolle)
- Sie nach Mustern in langen Feldern suchen müssen
Verwenden Sie not like, wenn:
- Sie Rauschen aus den Daten entfernen möchten
- Sie bekannte Muster ausschließen müssen (Bots, Spam, Tests…)
- Sie Ergebnisse für präzisere Analysen bereinigen
- Sie "menschlichen" oder relevanten Verkehr behalten möchten
Wichtige Unterschiede zu anderen Operatoren
- =: exakte Übereinstimmung
- like: Teilübereinstimmung (Muster)
- !=: exakter Ausschluss
- not like: Ausschluss nach Muster
Häufige Fehler
- Vergessen, % zu verwenden, und keine erwarteten Ergebnisse erhalten
- Verwendung von like, wenn Sie den exakten Wert kennen (besser = verwenden)
- Übermäßige Verwendung von not like und Entfernung von zu vielen nützlichen Daten
- Nichtbeachtung, dass kleine Textabweichungen das Ergebnis verändern
In-Filter (in) und not in-Filter (not in)
Die Operatoren in und not in werden verwendet, wenn Sie mit Wertelisten arbeiten müssen, anstatt mit einem einzelnen Wert zu vergleichen. Sie sind besonders nützlich in ConnectiLogs, da sie es Ihnen ermöglichen, mehrere Filter zu einer einzigen Bedingung zu vereinfachen, was die Abfragen erleichtert.
Wie funktionieren sie?
Diese Operatoren vergleichen den Wert eines Feldes mit einem Satz von Optionen:
- in: Der Datensatz wird eingeschlossen, wenn sein Wert in der Liste ist.
- not in: Der Datensatz wird eingeschlossen, wenn sein Wert NICHT in der Liste ist.
In-Operator (in)
Der Operator in gibt alle Datensätze zurück, deren Wert mit einem der Elemente in der definierten Liste übereinstimmt.
Grundlegendes Beispiel:
Wenn Sie Statuscodes analysieren:
- Feld: Statuscode
- Operator: in
- Werte: 404, 500
Ergebnis:
Nur Datensätze, deren Statuscode ist:
- 404
- 500
Alles andere wird von der Abfrage ausgeschlossen.
Not-in-Operator (not in)
Der Operator not in macht das Gegenteil: Er schließt alle Datensätze aus, deren Wert in der angegebenen Liste ist.
Grundlegendes Beispiel
- Feld: Statuscode
- Operator: not in
- Werte: [200, 301]
Ergebnis:
Alle Datensätze werden angezeigt außer:
- 200 (OK)
- 301 (Weiterleitung)
Dies ist nützlich, wenn Sie sich auf Fehler oder anomalie Verhaltensweisen konzentrieren möchten.
Wann sollte man in und not in verwenden?
Verwenden Sie in, wenn:
- Sie mehrere spezifische Werte gleichzeitig filtern möchten
- Sie mit begrenzten Zuständen, Codes oder Kategorien arbeiten
- Sie mehrere ODER-Bedingungen zu einer einzigen Regel vereinfachen müssen
- Sie sich auf eine bestimmte Gruppe von Ereignissen konzentrieren möchten
Verwenden Sie not in, wenn:
- Sie mehrere bekannte Werte ausschließen möchten
- Sie Rauschen bereinigen (Bots, interner Traffic, Tests…)
- Sie "alles außer…" analysieren müssen
- Sie die Ergebnisse reduzieren möchten, ohne den Gesamtkontext zu verlieren
Häufige Fehler
- Verwendung von in, wenn es nur einen Wert gibt (besser = verwenden)
- Verwechslung von in mit like (hier gibt es keine Teilübereinstimmungen)
- Einbeziehung von zu vielen Werten ohne klares Kriterium
- Nichtüberprüfung, ob alle Werte in der Liste tatsächlich in den Daten existieren
Größer als (>), größer oder gleich (>=), kleiner als (<) und kleiner oder gleich (<=) Filter
Diese Operatoren werden für numerische oder zeitliche Vergleiche innerhalb von ConnectiLogs verwendet. Sie sind wichtig, wenn Sie mit Schwellenwerten, Bereichen oder Grenzen arbeiten müssen, insbesondere in Feldern wie Daten, Antwortzeiten, Dateigrößen oder jedem quantifizierbaren Wert.
Im Gegensatz zu Textfiltern suchen diese Operatoren nicht nach exakten Übereinstimmungen oder Mustern, sondern nach Ordnungsbeziehungen zwischen Werten.
Wie funktionieren sie?
Alle diese Operatoren vergleichen den Wert eines Feldes mit einem Referenzwert:
- > (größer als): Der Feldwert muss strikt größer sein.
- >= (größer oder gleich): Der Feldwert muss größer oder gleich sein.
- < (kleiner als): Der Feldwert muss strikt kleiner sein.
- <= (kleiner oder gleich): Der Feldwert muss kleiner oder gleich sein.
Größer als (>)
Der Operator > gibt nur Datensätze zurück, deren Wert größer als der angegebene Wert ist, ohne ihn einzuschließen.
Beispiel
- Feld: Antwortzeit
- Operator: >
- Wert: 1
Ergebnis:
Datensätze mit einer Antwortzeit von mehr als 1 Sekunde werden angezeigt:
- 1.2s
- 2s
- 5s
Schließt nicht ein:
- genau 1s
Größer oder gleich (>=)
Der Operator >= ähnelt dem vorherigen, schließt jedoch den Grenzwert ein.
Beispiel
- Feld: Größe
- Operator: >=
- Wert: 4000
Ergebnis:
Alle Datensätze mit einer Größe von:
- 4000 KB
- 4500 KB
- 10000 KB
Kleiner als (<)
Der Operator < gibt Datensätze zurück, deren Wert kleiner als der angegebene Wert ist, ohne ihn einzuschließen.
Beispiel
- Feld: Antwortzeit
- Operator: <
- Wert: 1
Ergebnis:
Nur Datensätze mit Antwortzeiten unter 1 Sekunde werden angezeigt:
- 0.2s
- 0.5s
- 0.9s
Schließt nicht ein:
- genau 1s
Kleiner oder gleich (<=)
Der Operator <= schließt alle Werte ein, die kleiner oder gleich dem definierten Wert sind.
Beispiel
- Feld: Größe
- Operator: <=
- Wert: 1000
Ergebnis:
Datensätze mit einer Größe von werden eingeschlossen:
- 1000 KB
- 800 KB
- 200 KB
Kombinierte Verwendung (Bereiche)
Diese Operatoren sind besonders leistungsfähig, wenn sie kombiniert werden, um Wertebereiche zu erstellen.
Beispiel für einen Bereich
- Antwortzeit >= 1
- Antwortzeit <= 3
Ergebnis:
Es werden nur Datensätze mit Antwortzeiten zwischen 1 und 3 Sekunden (einschließlich beider Grenzen) angezeigt.
Dies ermöglicht es Ihnen, das Verhalten innerhalb eines bestimmten Intervalls zu analysieren.
Wichtige Unterschiede
- > und < → schließen den Grenzwert aus
- >= und <= → schließen den Grenzwert ein
- Sie funktionieren nur mit numerischen oder zeitlichen Daten, nicht mit Text
- Sie sind die Grundlage für die Erstellung präziser Analysebereiche
Häufige Fehler
- Verwendung auf Textfeldern (nicht gültig)
- Verwechslung von > mit >= und Verlust des Grenzwerts
- Nicht korrekte Definition von Bereichen (Lücken zwischen Bedingungen lassen)
Praktische Tipps zur Verwendung von Filtern
In ConnectiLogs sind Filter leistungsfähiger, wenn sie mit einer klaren, progressiven Strategie verwendet werden, anstatt zu versuchen, von Anfang an eine perfekte Abfrage zu erstellen.
Es wird dringend empfohlen, immer mit einfachen, leicht zu validierenden Filtern zu beginnen (z.B. nach Domain, Statuscode oder Datumsbereich) und zu überprüfen, ob die Abfrage Daten zurückgibt, bevor Sie weitere Bedingungen hinzufügen. Von dort aus können Sie schrittweise verfeinern, bis Sie den gewünschten Detaillierungsgrad erreicht haben.
Es ist wichtig, den richtigen Operator entsprechend dem Datentyp zu wählen. Verwenden Sie für exakte Übereinstimmungen =, für spezifische Ausschlüsse !=, für Wertelisten in / not in, für flexible Textsuche like / not like und für numerische oder zeitliche Bereiche >, >=, <, <=. Die Verwendung des falschen Operators ist eine der häufigsten Ursachen für leere oder unerwartete Ergebnisse.
Es ist auch wichtig zu verstehen, dass sich alle Filter kumulativ (UND) miteinander kombinieren, was bedeutet, dass jede Bedingung den Datensatz reduziert. Daher kann das Hinzufügen von zu vielen restriktiven Filtern von Anfang an dazu führen, dass Sie relevante Informationen verlieren oder die Abfrage sogar kein Ergebnis liefert.
Wenn Sie mit mehreren bekannten Werten arbeiten, verwenden Sie in / not in, anstatt mehrere gleiche Filter zu wiederholen, da dies die Abfrage vereinfacht und die Lesbarkeit verbessert. Wenn Sie nach Mustern innerhalb von Text suchen müssen, verwenden Sie like / not like sorgfältig mit dem %-Platzhalter und vermeiden Sie zu breite oder zu restriktive Interpretationen.
Zusammenfassend lässt sich sagen, dass der Schlüssel darin liegt, Präzision und Breite auszugleichen: Beginnen Sie mit einfachen Filtern, validieren Sie die Ergebnisse und verfeinern Sie sie schrittweise, wobei Sie immer darauf achten, den für jeden Datentyp geeigneten Operator zu verwenden.