集約データ・ビューは、レポートとダッシュボードを生成するために使用される、集計されたデータのバケットです。 これらのグローバル・ビューは、データをバックグラウンドで定期的に集計する保存済み検索に基づいています。 「SIM ユーザー認証」カテゴリーの時系列グラフを作成するには、次の手順を使用します。
手順
- IBM® QRadar®で、 「ログ・アクティビティー」 タブに移動し、 「拡張検索」 フィールドに切り替えます。
- グローバル・ビューを任意のカテゴリーで再使用可能にするには、前の例の「where」節を削除し、以下の AQL 照会を入力して、 検索をクリックします。
select categoryname(category) as catname, category, count(category) as catcount, first(starttime) as Time
from events
group by category, starttime/60000
order by Time
last 1 hours
注:デフォルトでは、
QRadar は、結果リストの上に 2 つの「上位 10 件」グラフを表示します。 これらのグラフを処理して、グローバル・ビューを作成します。 デフォルトでは、次の例のように表示されます。
- 円グラフで、 設定 をクリックして構成設定を表示します。
- パルスを処理する時系列グラフにグラフを変換するには、 グラフ化する値 リストで 時刻 を選択し、グラフ・タイプを 時系列に変更します。
- グラフ化する値 リストから、 カウントを選択します。
- 時系列データのキャプチャー チェック・ボックスを選択し、 保存をクリックします。 「条件の保存」ページが開き、ここで保存済み検索とグローバル・ビューを作成できます。
- 検索名に パルス・カテゴリー・カウント と入力します。
- 次の各パラメーターの値を入力します。
| オプション |
説明 |
|---|
| パラメーター |
説明 |
| グループへの検索の割り当て |
この保存済み検索を割り当てるグループのチェック・ボックスを選択します。 グループを選択しない場合は、この保存済み検索がデフォルトで「その他」グループに割り当てられます。 |
| グループの管理 |
検索グループを管理するには、「グループの管理」をクリックします。 |
| タイム・スパン・オプション |
次のオプションのいずれかを選択してください。
- 最後の間隔 (自動最新表示) - 自動最新表示モードで検索結果をフィルタリングするには、このオプションを選択します。 「ログ・アクティビティー」タブと「ネットワーク・アクティビティー」タブは 1 分間隔で最新表示されて、最新情報が表示されます。
- 「最新」 - このオプションを選択する場合は、リスト・ボックスでフィルター対象の時刻範囲を選択します。
- 特定の間隔- このオプションを選択する場合は、カレンダーでフィルター対象の日時範囲を選択します。
|
- 了解をクリックします。
注: 基準が保存されると、グローバル・ビューがアクティブになり、 IBM QRadar Pulseで使用できるようになります。
