# Discoverにてコロン前後のキーワードを検索する場合の事象について

**URL:** <https://discuss.elastic.co/t/discover/302766>\
**Category:** 日本語による質問・議論はこちら\
**Created:** [April 20, 2022, 5:06am UTC](https://discuss.elastic.co/t/discover/302766 "2022-04-20T05:06:26Z")\
**Posts on this page:** 3\
**Page:** 1

<div class="post-metadata">

**Author:** ![t-nakata](https://avatars.discourse-cdn.com/v4/letter/t/8491ac/32.png) [@t-nakata](https://discuss.elastic.co/u/t-nakata)\
**Post date:** [April 20, 2022, 5:06am UTC](https://discuss.elastic.co/t/discover/302766/1 "2022-04-20T05:06:26Z")

</div>

下記のようなインデックスを保持しております

```auto
{
  "took" : 2,
  "timed_out" : false,
  "_shards" : {
    "total" : 5,
    "successful" : 5,
    "skipped" : 0,
    "failed" : 0
  },
  "hits" : {
    "total" : {
      "value" : 4,
      "relation" : "eq"
    },
    "max_score" : 1.0,
    "hits" : [
      {
        "_index" : "test",
        "_type" : "_doc",
        "_id" : "3",
        "_score" : 1.0,
        "_source" : {
          "message" : "aaa/bbb"
        }
      },
      {
        "_index" : "test",
        "_type" : "_doc",
        "_id" : "4",
        "_score" : 1.0,
        "_source" : {
          "message" : "aaa:bbb"
        }
      },
      {
        "_index" : "test",
        "_type" : "_doc",
        "_id" : "2",
        "_score" : 1.0,
        "_source" : {
          "message" : "TTPs/Defense Evasion/Stealth:IAMUser-CloudTrailLoggingDisabled"
        }
      },
      {
        "_index" : "test",
        "_type" : "_doc",
        "_id" : "1",
        "_score" : 1.0,
        "_source" : {
          "message" : "TTPs/Privilege Escalation/IAMUser-AnomalousBehavior"
        }
      }
    ]
  }
}

```

このインデックスに対し、KibanaのDiscoverにて、キーワードを「IAMUser」あるいは「aaa」「bbb」で検索した時、検索対象キーワードがコロンの前後に存在するドキュメントがヒットしないように見受けられます。下記が結果になります。

・検索キーワード「IAMUser」  
想定：\_idが1と2のドキュメントがヒット  
結果：\_idが1のドキュメントのみヒット

・検索キーワード「aaa」または「bbb」  
想定：\_idが3と4のドキュメントがヒット  
結果：\_idが3のドキュメントのみヒット

この挙動はKibanaの仕様でしょうか？それとも不具合でしょうか？ご教示いただけますと幸いです。

---

<div class="post-metadata">

**Author:** ![Tomo\_M](https://avatars.discourse-cdn.com/v4/letter/t/848f3c/32.png) [@Tomo\_M](https://discuss.elastic.co/u/Tomo_M)\
**Post date:** [April 22, 2022, 3:55pm UTC](https://discuss.elastic.co/t/discover/302766/2 "2022-04-22T15:55:02Z")

</div>

それはkibanaの挙動と言うより、Elasticsearchの挙動と思われます。  
"message"が[text field](https://www.elastic.co/guide/en/elasticsearch/reference/current/text.html)の場合、設定されているtokenizerでtokenに分割された上でインデックスされます。その際のtokenizerの挙動としてハイフンでは分割されるもののコロンでは単語に分割されないということだと思います。  
副作用もありますが、たとえばCharacter group tokenizerを使うと指定した文字で分割できます。N-gram tokenizerを用いるのも一つの方法かもしれません。

[analyze API](https://www.elastic.co/guide/en/elasticsearch/reference/current/test-analyzer.html)を用いて、どのようにtoken化されるか確認できます。

---

<div class="post-metadata">

**Author:** ![system](https://us1.discourse-cdn.com/elastic/original/3X/1/a/1ac57faf039f6b580b3f104ef42a2a89e41014de.png) [@system](https://discuss.elastic.co/u/system)\
**Post date:** [May 20, 2022, 3:55pm UTC](https://discuss.elastic.co/t/discover/302766/3 "2022-05-20T15:55:55Z")

</div>

This topic was automatically closed 28 days after the last reply. New replies are no longer allowed.