Casos de uso para parámetros de widgets basados en AQL
Los parámetros facilitan la reutilización de elementos comunes en varias consultas AQL para que resulte más sencillo crear widgets y compartirlos. Ya no es necesario que cree consultas únicas para entidades parecidas. Cualquier consulta que utilice el parámetro puede utilizar automáticamente el valor.
Utilice parámetros para representar entidades comunes, como la IP de la consola. Por ejemplo, en lugar de escribir la dirección IP única en cada consulta de cada gráfico relevante, añada la dirección IP específica en el parámetro Console_IP. Cualquier widget del espacio de trabajo que utilice este parámetro se actualizará al instante.
Búsqueda de sucesos para un usuario específico
Suponga que es un analista senior de un centro de operaciones de seguridad y desea investigar el comportamiento sospechoso de uno de sus usuarios, Bob. Cree un panel de control que capture la información que le interesa cuando Bob realiza alguna acción sospechosa. Por ejemplo, ¿cuántos inicios de sesión asociados a Bob durante la última hora hay? Cree parámetros para username, events per user, time period, time value, sourceip y destinationip.
Incluya widgets que cubran las principales categorías de sucesos, los 10 principales orígenes de datos, la ubicación de los sucesos, los sucesos por usuario y la hora del día. Cuando exporte y comparta el panel de control con otros, pueden sustituir el nombre de usuario de Bob por el nombre de usuario que elijan.
Investigación de sucesos durante periodos de tiempo específicos
En un gráfico de series de tiempo, se ve un pico destacado en el número de sucesos de error de inicio de sesión. Cambie el periodo de tiempo y ejecute de nuevo la consulta para ver cuándo ha comenzado el pico. Por ejemplo, si cambia el periodo de tiempo a los últimos 30 días en lugar de los últimos 4 días, ¿fue entonces cuando comenzó el pico?
Compartición de paneles de control con otros
Su equipo comparte la responsabilidad de gestionar varios hosts gestionados en todo el mundo. Cree un panel de control que supervise servidores específicos para varias métricas de estado, tales como el uso principal del disco y la distribución del uso del disco. Cree un parámetro para servername y, a continuación, comparte el panel de control con sus colegas. Lo único que debe hacer es añadir los nombres de servidores que supervisan en los valores de parámetros y obtienen resultados específicos en sus servidores.