説明
正解は C です。フィールド A の値がフィールド B の値と等しいイベント。
where コマンドは、true または false に評価される式に基づいて検索結果をフィルタリングするために使用されます。
where コマンドは、2 つのフィールド、2 つの値、またはフィールドと値を比較できます。また、where コマンドでは、関数、演算子、ワイルドカードを使用して複雑な式を作成することもできます1。
where コマンドの構文は次のとおりです。
| where <式>
式は、比較、計算、論理演算、またはこれらの組み合わせにすることができます。式は、各イベントに対して true または false に評価される必要があります。
where コマンドで 2 つのフィールドを比較するには、引用符なしでフィールド名を使用する必要があります。たとえば、フィールド A の値がフィールド B の値と一致するイベントを検索する場合は、次の構文を使用できます。
| ここでA=B
これにより、2 つのフィールドの値が同じイベントのみが返されます。
その他のオプションは、異なる構文または where コマンドに関連しないフィールドを使用しているため、正しくありません。これらのオプションは次のとおりです。
A: where A=B という文字列値を含むイベント: このオプションは、where コマンドの有効な構文ではない、where A=B という文字列値を検索語として使用します。このオプションは、"where A=B" というリテラル テキストを含むイベントを返します。
B: 文字列値A=Bを含むイベント: このオプションは、検索語として文字列値A=Bを使用しますが、これはwhereコマンドの有効な構文ではありません。このオプションは、リテラルテキストを含むイベントを返します。
それらでは「A=B」です。
D: フィールド A に文字列値 B が含まれるイベント: このオプションでは値 B を引用符で囲みますが、これは where コマンドでフィールドを比較する場合の有効な構文ではありません。引用符は、検索2 でフレーズまたは完全一致を囲むために使用されます。このオプションは、フィールド A に文字列値 "B" が含まれるイベントを返します。
参考文献:
whereコマンドの使用法
検索コマンドチートシート