Anwendungsfälle für Parameter in AQL-basierten Widgets
Mit Hilfe von Parametern können gängige Elemente in mehreren AQL-Abfragen einfach wiederverwendet werden, sodass es einfacher ist, Widgets zu erstellen und sie gemeinsam zu nutzen. Sie müssen nicht mehr einzelne Abfragen für ähnliche Entitäten erstellen. Jede Abfrage, die den Parameter verwendet, kann automatisch den Wert verwenden.
Verwenden Sie Parameter, um gängige Entitäten wie die IP Ihrer Konsole darzustellen. Statt beispielsweise die eindeutige IP-Adresse in jeder Abfrage jedes relevanten Diagramms einzugeben, fügen Sie die betreffende IP-Adresse als Wert zum Parameter Console_IP hinzu. Alle Arbeitsbereich-Widgets, die diesen Parameter verwenden, werden sofort aktualisiert.
Ereignisse für einen bestimmten Benutzer suchen
Sie sind Senior Analyst in einem SOC und wollen verdächtiges Verhalten von Bob, einem Ihrer Nutzer, untersuchen. Erstellen Sie ein Dashboard, das Informationen erfasst, die Sie berücksichtigen müssen, wenn Bob etwas schädliches tut. Wie viele Anmeldungen gehen beispielsweise in der letzten Stunde auf das Konto von Bob? Erstellen Sie Parameter für username, events per user, time period, time value, sourceipund destinationip.
Fügen Sie Widgets hinzu, die die obersten Ereigniskategorien, die Top-10-Protokollquellen, den Ort der Ereignisse, Ereignisse pro Benutzer und die Tageszeit abdecken. Wenn Sie das Dashboard exportieren und mit anderen teilen, können sie Bobs Benutzernamen durch den Benutzernamen ihrer Wahl ersetzen.
Untersuchen Sie Ereignisse während bestimmter Zeiträume
In einem Zeitreihendiagramm sehen Sie eine große Spitze in der Anzahl der Anmeldefehlerereignisse. Ändern Sie den Zeitraum und führen Sie die Abfrage erneut aus, um zu sehen, wann die Spitze startete. Zum Beispiel, wenn Sie den Zeitraum auf die letzten 30 Tage anstelle der letzten 4 Tage ändern, war das, als die Spitze begann?
Dashboards mit anderen teilen
Ihr Team ist für die Steuerung mehrerer verwalteter Hosts auf der ganzen Welt verantwortlich. Sie erstellen ein Dashboard, das bestimmte Server hinsichtlich verschiedener Zustandsmetriken überwacht, z. B. höchste Plattenbelegung und Verteilung der Plattenbelegung. Erstellen Sie einen Parameter für servername und teilen Sie das Dashboard dann mit Ihren Kollegen. Diese müssen dann lediglich die Servernamen, die überwacht werden sollen, als Parameterwerte hinzufügen und erhalten Ergebnisse für die betreffenden Server.