ダッシュボード・グラフ用の AQL 照会作成のヒント

より簡単に AQL 照会およびダッシュボード・グラフを作成する上で役立つヒントでは、別名、日時形式、および変換ルックアップ関数について説明します。

時間基準を含む AQL ステートメントでは、事前定義された SYSTEM:timerange パラメーターを使用できます。その後、ウィジェットがダッシュボードで使用されると、ユーザーは時間セレクターを使用して、特定の時刻範囲を時間ベースのグラフでダッシュボードに表示できます。以下の表では、特定の時刻範囲を使用する時間基準を含む AQL 照会の例と、 SYSTEM:timerange パラメーターを使用する AQL 照会の例を比較しています。

表 1. 特定の時刻範囲および SYSTEM:timerange パラメーターを使用した、時刻基準を含む AQL ステートメントの例
特定の時刻範囲を含む AQL の例
`SELECT * FROM events WHERE userName IS NULL LAST 1 HOURS`
`SELECT * FROM events WHERE userName IS NULL START '2024-04-25 15:51:20' STOP '2024-04-25 17:00:20'` ヒント: STOP は現在時刻を表します。

START、 STOP、 LAST などの時間基準が含まれていない AQL ステートメントは、過去 5 分間を表すデータを返します。
照会 (特に GLOBALVIEW など) では適切な日付および年度形式を使用します。日付は自動的には追加されませんので、例えば StartTime, 'YYYY-MM-dd HH:mm' などを使用します。
AQL 照会の「時刻 (Time)」にミリ秒の時刻形式を使用します (例: starttime-starttime%60000 など)。
WHERE 節の IN 演算子で変換ルックアップ関数を使用しないでください。 IN 演算子は WHERE 節で複数の値を指定しますが、照会の実行時のパフォーマンスの問題を引き起こす可能性があります。例えば、次の照会はパフォーマンスの問題を引き起こす可能性があります。
```
Where logsourcetypename(deviceType) IN ('a','b')
```
フィールド名が QRadar® のバージョンによって異なることがないように、常に別名を使用してください。例えば、次の照会では、「Active Offense Sum」は「SUM_Active Offense Count」フィールドの別名です。
```
select ("SUM_Active Offense Count" / 2)  as 'Active Offense Sum',
("SUM_Dormant Offense Count" / 2)  as 'Dormant Offense Sum',
"Time" * 1000 as 'sTime'
from GLOBALVIEW('Offenses Over Time','NORMAL')
order by "Time" desc
last 2 days
```
「地理分布図」グラフには、検出された悪意のあるアクティビティーの IP の送信元と宛先を示す地理的位置が表示されます。この情報を収集するには、AQL GEO::LOOKUP 関数の geo_json オプションを使用します。例:
```
GEO::LOOKUP(sourceip, 'geo_json') AS 'geoSource',
GEO::LOOKUP(destinationip, 'geo_json') AS 'geoDest',
```
「コロプレス (Choropleth)」グラフでは、各地域で検出された悪意のあるアクティビティーの量に比例して陰影が付けられます。この情報を収集するには、AQL GEO::LOOKUP 関数の country オプションを使用します。例:
```
GEO::LOOKUP(sourceip, 'country') AS 'geoCountry',
```
MaxMind GeoIP データベースで使用されているものと一致するように、「場所のタイプ」を「国/地域」に設定します。
IBM® QRadar Knowledge Centerにアクセスしてください。『リファレンス』の章の『Ariel 照会言語 (AQL)』セクションでトピック『Ariel 照会言語の概要』、『AQL の論理演算子および比較演算子』、『システム・パフォーマンス照会の例』、『イベントおよびフロー照会の例』、『リファレンス・データ照会の例』、および『ユーザーとネットワークのモニター照会の例』を参照してください。