過去 10 分間に最もアクティブであった上位 5 個のデバイスの追跡

この例では、過去 10 分間に環境で最もアクティブであった上位 5 個のデバイスを追跡するために、動的時系列グラフを作成します。 QRadar® Pulse V2.1.4 以降では、時系列グラフに動的系列オプションがあります。このオプションは、追跡するデバイスが分からない場合や、時系列グラフを正しく機能させるのが難しい場合に役立ちます。 このオプションにより、自動的に系列が検出され、時系列グラフに個別の行として表示されます。

始める前に

背景情報については、 QRadar Pulse の時系列グラフ を参照してください。

手順

  1. ダッシュボードの構成をクリックします。

    「ダッシュボードの構成」 画面に、使用可能なウィジェットのライブラリーがそれぞれの詳細とともに表示されます。

  2. 新規ウィジェットの作成をクリックします。
  3. 「 新規ダッシュボード項目 」ページで、項目の名前と説明を入力します。
  4. 「照会」 セクションのデータ・ソース・リストから AQL を選択し、以下の AQL ステートメントを入力します。
    SELECT MIN(starttime) as stime,
LOGSOURCETYPENAME(devicetype) as device,
devicetype as devices,
count(*) as total
FROM events
WHERE devices IN (
   SELECT devices FROM (
       SELECT devicetype as devices,
       count(*) as topDevices
       FROM events
       where devicetype <> 368
       GROUP BY devices
       ORDER BY topDevices DESC
       LIMIT 3
       LAST 10 minutes
   )
)
GROUP BY starttime/(60*1000), device
ORDER BY stime asc
LAST 10 minutes
  5. 最新表示時間を毎分のままして、結果セットを 1000 のままにします。
  6. 照会の実行をクリックします。
  7. ビュー セクションで、グラフ 動的時系列を呼び出し、グラフ・タイプとして 時系列グラフ を選択します。
  8. 一般 タブで、以下のオプションを構成します。
    1. 時刻 (X 軸) リストから、 STIMEを選択します。
    2. 動的系列 オプションを選択します。
    3. 系列を 装置で分割します。
    4. 値 (Y 軸) リストから、 合計を選択します。
    5. 凡例の表示 を はい に設定し、方向を設定します。
  9. 保存をクリックします。

結果

次の画面キャプチャーは、このグラフの外観の例を示しています。

過去 10 分間の上位 5 件のデバイスを示すグラフ