Ermittlung des AQL und Erläuterung des AQL

Online bearbeiten

Erfahren Sie mehr über die Generierung von AQL-Abfragen (Ariel Query Language) und die AQL-Erläuterung in der neuen Version QRadar der Investigation Assistant -App.

Erstellen einer AQL-Anweisung (geführter Arbeitsablauf)

Um eine AQL-Anweisung zu erstellen, führen Sie die folgenden Schritte aus:
  1. Gehen Sie zur Hauptseite von „Investigation Assistant“ unter IBMQRadar.
  2. Klicken Sie auf „AQL-Generierung “.
  3. Beschreiben Sie in einfacher Sprache, was die AQL-Anweisung bewirken soll.
  4. Stellen Sie weitere Fragen zur AQL-Erklärung oder zu den in der Erläuterung enthaltenen Informationen.
  5. Um im geführten Workflow eine weitere AQL-Anweisung zu erstellen, klicken Sie auf die Schaltfläche „Neuen Chat starten “.

Erstellen einer AQL-Anweisung (aus Netzwerkaktivität oder Protokollaktivität)

Um eine AQL-Anweisung zu erstellen, führen Sie die folgenden Schritte aus:
  1. Gehen Sie zu „Protokollaktivität“ oder „Netzwerkaktivität “.
  2. Klicken Sie in der Symbolleiste auf die Schaltfläche „AQL-Erstellung und Erläuterung “.
  3. Geben Sie eine Beschreibung der Abfrage in natürlicher Sprache ein, die Sie erstellen möchten.

Erläuterung einer AQL-Angabe (gezielter Arbeitsablauf)

Um eine AQL-Anweisung zu erklären, führen Sie die folgenden Schritte aus:
  1. Gehen Sie zur Hauptseite von „Investigation Assistant“ unter IBMQRadar.
  2. Klicken Sie auf „Erläuterung zum AQL “.
  3. Beschreiben Sie in einfacher Sprache, was die AQL-Anweisung bewirken soll.
  4. Stellen Sie weitere Fragen zur AQL-Erklärung oder zu den in der Erläuterung enthaltenen Informationen.
  5. Um eine weitere AQL-Anweisung im geführten Arbeitsablauf zu erklären, klicken Sie auf die Schaltfläche „Neuen Chat starten “.

Erläuterung einer AQL-Anweisung (aus „Netzwerkaktivität“ oder „Protokollaktivität“)

Um eine AQL-Anweisung zu erklären, führen Sie die folgenden Schritte aus:
  1. Gehen Sie zur Hauptseite von „Investigation Assistant“ unter IBMQRadar.
  2. Stellen Sie sicher, dass als Suchoption „Erweiterte Suche“ ausgewählt ist.
  3. Geben Sie eine AQL-Abfrage in die Suchleiste ein.
  4. Klicken Sie in der Symbolleiste auf die Schaltfläche „AQL-Erstellung und Erläuterung “.
  5. Wählen Sie unter den Eingabeaufforderungsoptionen die Option „Erklären“ und die AQL-Abfrage aus, um die vorbereitete AQL-Abfrage zu erläutern.

Schutz vor den Auswirkungen von Abfragen

Die „Query Impact Protection“-Funktion fügt den generierten AQL-Abfragen einen EXECUTIONTIMELIMIT Parameter hinzu, damit Nutzer, die die generierten AQL-Abfragen ausführen möchten, aber Bedenken hinsichtlich möglicher Risiken haben, diese sicher ausführen können. Die Abfrage EXECUTIONTIMELIMIT wird automatisch abgebrochen, sobald die angegebene Zeitüberschreitung erreicht ist. Die Zeitbegrenzung für den EXECUTIONTIMELIMIT Parameter wird in Millisekunden angegeben (30000 = 30 Sekunden).

So aktivieren Sie den Schutz vor Abfrageauswirkungen:

  1. Rufen Sie die Konfigurationsseite des „ QRadar Investigation Assistant“ auf
  2. „Abfrageauswirkungsschutz“ auf „Ein“ setzen
  3. Legen Sie einen geeigneten Zeitlimitwert in Millisekunden fest oder behalten Sie den Standardwert bei
  4. Speichern Sie Ihre Konfiguration

Sie können den Schutz vor Abfrageauswirkungen jederzeit deaktivieren:

  1. Rufen Sie die Konfigurationsseite des „ QRadar Investigation Assistant“ auf
  2. Schalten Sie den Schutz vor Abfrageauswirkungen auf „Aus“
  3. Speichern Sie Ihre Konfiguration