Les vues de données agrégées sont des compartiments de données accumulés utilisés pour la génération de rapports et de
tableaux de bord. Ces vues globales sont créées à partir de recherches sauvegardées qui accumulent régulièrement les données en arrière-plan. Suivez la procédure
ci-dessous pour créer un graphique de série temporelle pour une catégorie SIM User Authentication.
Procédure
- Dans IBM® QRadar®, accédez à l'onglet Activité du journal et passez à la zone Recherche avancée .
- Pour rendre la vue globale réutilisable pour n'importe quelle catégorie, supprimez la clause "where" dans l'exemple précédent, entrez la requête AQL suivante, puis cliquez sur Rechercher.
select categoryname(category) as catname, category, count(category) as catcount, first(starttime) as Time
from events
group by category, starttime/60000
order by Time
last 1 hours
Remarque :Par défaut,
QRadar affiche deux graphiques "Top 10" au-dessus de la liste des résultats. Utilisez ces graphiques pour créer la vue globale. Par défaut, elle est
similaire à l'exemple suivant :
- Dans le graphique circulaire, cliquez sur Paramètres pour afficher les paramètres de configuration.
- Pour convertir le graphique en graphique de série temporelle qui fonctionne avec Pulse, sélectionnez Heure dans la liste Valeur au graphique , puis remplacez le type de graphique par Série temporelle.
- Dans la liste Valeur au graphique , sélectionnez COMPTAGE.
- Cochez la case Capturer les données de la série temporelle , puis cliquez sur Sauvegarder. La page Sauvegarder les critères s'affiche. Vous pouvez alors créer
une recherche sauvegardée et une vue globale.
- Entrez Nombre de catégories d'impulsions dans le nom de recherche.
- Entrez des valeurs pour les paramètres suivants :
| Option |
Descriptif |
|---|
| Paramètre |
Descriptif |
| Affecter la recherche au(x) groupe(s) |
Cochez la case
du groupe auquel vous souhaitez affecter cette recherche sauvegardée. Si vous ne sélectionnez aucun groupe, cette recherche sauvegardée est affectée par défaut au groupe Autre. |
| Gérer les groupes |
Cliquez sur Gérer les groupes pour gérer des groupes de recherche. |
| Options d'intervalle |
Choisissez l'une des options suivantes :
- Dernier intervalle (actualisation automatique) - Sélectionnez cette option pour
filtrer vos résultats de recherche en mode d'actualisation automatique. Les onglets Activité du journal et Activité réseau s'actualisent toutes les minutes pour afficher les informations les plus récentes.
- Récent - Sélectionnez cette option et dans cette zone de liste, sélectionnez l'intervalle pour effectuer le filtrage.
- Intervalle spécifique - Sélectionnez cette option et dans le calendrier, sélectionnez la date et l'intervalle pour effectuer
le filtrage.
|
- Cliquez sur OK.
Remarque: une fois les critères sauvegardés, la vue globale est désormais active et prête à être utilisée dans IBM QRadar Pulse.
