`CIDR_MATCH(ip, block1, ...)` 会在 IP 地址属于任一 CIDR 网段时返回 true，适合从审计日志中筛选内部网段、受管网络或指定地址范围。输入字段应为 `ip` 类型，网段可写成 CIDR 字符串。

例如筛选私网来源：`FROM audit-logs | WHERE CIDR_MATCH(source.ip, "10.0.0.0/8", "192.168.0.0/16") | KEEP @timestamp, user.name, source.ip, event.action`。函数支持 IPv4 和 IPv6，传入多个网段时，命中其中任一网段即返回 true。

若地址字段是 keyword 字符串，可先用 `TO_IP(source_ip)` 转成 IP 值，再传给 `CIDR_MATCH`。无效地址转换会得到 null 并产生警告，查询前应检查字段映射和数据质量。CIDR 命中只代表地址落入范围，不等同于身份验证或安全判定。