Calcul de l'AQL et explication de l'AQL

Modifier en ligne

Découvrez la génération de requêtes AQL (Ariel Query Language) et l'explication des requêtes AQL dans la nouvelle QRadar version de l'application Investigation Assistant.

Création d'une déclaration AQL (processus guidé)

Pour générer une déclaration AQL, procédez comme suit :
  1. Accédez à la page d'accueil de l'assistant d'enquête « IBM » ( QRadar ).
  2. Cliquez sur « Génération AQL ».
  3. Décrivez en langage naturel ce que l'instruction AQL doit accomplir.
  4. Posez des questions complémentaires concernant la déclaration relative à la limite de qualité acceptable (AQL) ou les informations fournies dans l'explication.
  5. Pour créer une nouvelle déclaration AQL dans le flux de travail guidé, cliquez sur le bouton « Démarrer une nouvelle conversation ».

Création d'une déclaration AQL (à partir de l'activité réseau ou de l'activité du journal)

Pour générer une déclaration AQL, procédez comme suit :
  1. Accédez à « Journal des activités » ou « Activité réseau ».
  2. Cliquez sur le bouton « Génération et explication de l'AQL » dans la barre d'outils.
  3. Saisissez une description en langage naturel de la requête que vous souhaitez générer.

Explication d'une déclaration AQL (flux de travail guidé)

Pour expliquer une déclaration AQL, procédez comme suit :
  1. Accédez à la page d'accueil de l'assistant d'enquête « IBM » ( QRadar ).
  2. Cliquez sur « Explication de l'AQL ».
  3. Décrivez en langage naturel ce que l'instruction AQL doit accomplir.
  4. Posez des questions complémentaires concernant la déclaration relative à la limite de qualité acceptable (AQL) ou les informations fournies dans l'explication.
  5. Pour obtenir des explications sur une autre instruction AQL dans le flux de travail guidé, cliquez sur le bouton « Démarrer une nouvelle conversation ».

Explication d'une déclaration AQL (à partir de l'activité réseau ou de l'activité du journal)

Pour expliquer une déclaration AQL, procédez comme suit :
  1. Accédez à la page d'accueil de l'assistant d'enquête « IBM » ( QRadar ).
  2. Assurez-vous que l'option « Recherche avancée » est sélectionnée.
  3. Saisissez une requête AQL dans la barre de recherche.
  4. Cliquez sur le bouton « Génération et explication de l'AQL » dans la barre d'outils.
  5. Sélectionnez « Explain » et la requête AQL parmi les options proposées pour obtenir une explication de la requête AQL préparée.

Protection contre l'impact des requêtes

La fonctionnalité « Query Impact Protection » ajoute un EXECUTIONTIMELIMIT paramètre aux requêtes AQL générées pour les utilisateurs qui souhaitent exécuter ces requêtes mais s'inquiètent des risques potentiels. Le système EXECUTIONTIMELIMIT annule automatiquement la requête une fois le délai spécifié écoulé. La durée maximale du EXECUTIONTIMELIMIT paramètre est exprimée en millisecondes (30000 = 30 secondes).

Pour activer la protection contre l'impact des requêtes :

  1. Accédez à la page de configuration de l'Assistant d'enquête d' QRadar
  2. Activer la protection contre l'impact des requêtes
  3. Définissez une valeur de délai appropriée en millisecondes, ou conservez la valeur par défaut
  4. Enregistrez votre configuration

Vous pouvez désactiver la protection contre l'impact des requêtes à tout moment :

  1. Accédez à la page de configuration de l'Assistant d'enquête d' QRadar
  2. Désactiver la protection contre l'impact des requêtes
  3. Enregistrez votre configuration