Buscar y filtrar — la consulta que deja una sola fila

La consulta parte los eventos por el valor de un campo: la cuenta, el host, la acción, el resultado. «Dame los eventos cuya cuenta es mvega» devuelve solo esos, sin que tengas que leer el resto. Esa es la diferencia entre buscar y ojear: el filtro por campo le pide al índice que haga el trabajo de descartar, en vez de hacerlo tú fila a fila. Cada campo es un eje por el que cortar el volumen.

Pensar en campos —qué columna contiene la respuesta que busco— es lo que convierte una montaña de eventos en una consulta de una línea. El dato está; la habilidad es nombrar el eje correcto.

Casi toda consulta útil lleva una ventana: «en las últimas seis horas», «entre las 02:00 y las 04:00». El tiempo es el eje que más recorta, porque un incidente ocurre en un tramo, no a lo largo del día entero. Acotar la ventana antes que nada reduce el volumen de millones a miles y deja ver lo que hay alrededor del momento que investigas. Abrir la ventana de más esconde el evento entre ruido; cerrarla de más lo deja fuera.

La ventana se ajusta como un enfoque: amplia para situarte, estrecha en cuanto localizas el momento. Un incidente se entiende mejor viendo qué pasó justo antes y justo después, no solo el instante exacto.

El filtro potente combina condiciones: no «eventos de mvega» ni «cambios de contraseña», sino «eventos de mvega que además son cambios de contraseña». Cada condición que sumas con un «y» estrecha el resultado, hasta dejar la fila exacta. Es la diferencia entre devolver veinte eventos de una cuenta y devolver el único que encaja con las dos cosas que te interesan. Cruzar bien es saber qué dos o tres condiciones, juntas, describen lo que buscas.

El error es cruzar de más y dejar fuera la fila por una condición que no se cumplía como creías, o cruzar de menos y seguir con demasiadas filas. Se añade una condición, se mira cuánto recorta, y se ajusta.

En la consola hay seis eventos mezclados. La cuenta mvega aparece en varios, pero solo una vez cambió su contraseña. Cruza la cuenta y el tipo de acción para quedarte con esa única fila y lee su hora.