Teil 1: Erstellen einer Ansicht mit zusammengefassten Daten auf der Registerkarte 'Protokollaktivität'

Bei Ansichten mit zusammengefassten (aggregierten) Daten handelt es sich um kumulierte Buckets mit Daten, die für das Generieren von Berichten und Dashboards verwendet werden. Diese globalen Ansichten basieren auf gespeicherten Suchen, die die Daten regelmäßig im Hintergrund kumulieren. Verwenden Sie die folgende Prozedur, um ein Zeitreihendiagramm für die Kategorie SIM User Authentication (SIM-Benutzerauthentifizierung) zu erstellen.

1. Wechseln Sie in IBM® QRadar®zur Registerkarte Protokollaktivität und wechseln Sie zum Feld Erweiterte Suche .
2. Damit die globale Ansicht für jede Kategorie wiederverwendbar ist, entfernen Sie die Where-Klausel im vorherigen Beispiel, geben Sie die folgende AQL-Abfrage ein und klicken Sie dann auf Suche.

   select categoryname(category) as catname, category, count(category) as catcount, first(starttime) as Time
   from events
   group by category, starttime/60000 
   order by Time 
   last 1 hours

   Hinweis:

   Standardmäßig zeigt QRadar zwei "Top 10" -Diagramme über der Ergebnisliste an. Sie können mit diesen Diagrammen arbeiten, um die globale Ansicht zu erstellen. Standardmäßig sieht diese ungefähr wie im folgenden Beispiel aus:

   
3. Klicken Sie im Kreisdiagramm auf Einstellungen , um die Konfigurationseinstellungen anzuzeigen.
   
4. Um das Diagramm in ein Zeitreihendiagramm zu konvertieren, das mit Pulse funktioniert, wählen Sie Zeit in der Liste Wert zu Diagramm aus und ändern Sie dann den Diagrammtyp in Zeitreihe.
   
5. Wählen Sie in der Liste Wert zu Diagramm den Eintrag ANZAHLaus.
6. Wählen Sie das Kontrollkästchen Zeitreihendaten erfassen aus und klicken Sie dann auf Speichern. Daraufhin wird die Seite Kriterien speichern geöffnet, auf der Sie eine gespeicherte Suche und eine globale Ansicht erstellen können.
7. Geben Sie Anzahl der Pulse-Kategorien im Suchnamen ein.
8. Geben Sie Werte für die folgenden Parameter ein:

   Option	Beschreibung
   Parameter	Beschreibung
   Suche zu Gruppe(n) zuordnen	Aktivieren Sie das Kontrollkästchen der Gruppe, der Sie diese gespeicherte Suche zuweisen wollen. Wenn Sie keine Gruppe auswählen, wird die gespeicherte Suche standardmäßig der Gruppe "Sonstige" zugewiesen.
   Gruppen verwalten	Klicken Sie auf Gruppen verwalten, um Ihre Suchgruppen zu verwalten.
   Zeitdaueroptionen	Wählen Sie eine der folgenden Optionen aus: Letztes Intervall (automatisches Aktualisieren) - Wählen Sie diese Option aus, um Ihre Suchergebnisse im automatischen Aktualisierungsmodus zu filtern. Die Registerkarten Protokollaktivität und Netzaktivität werden in einminütigen Intervallen aktualisiert, um die neuesten Informationen anzuzeigen. Aktuelle - Wählen Sie diese Option und anschließend aus diesem Listenfeld den Zeitraum aus, für den das Filterverfahren gelten soll. Bestimmtes Intervall - Wählen Sie diese Option und anschließend im Kalender mit Datum und Uhrzeit den Zeitraum aus, für den das Filterverfahren gelten soll.

9. Klicken Sie auf OK.
   Hinweis: Nach dem Speichern der Kriterien ist die globale Ansicht jetzt aktiv und kann in IBM QRadar Pulseverwendet werden.