AQL クエリーを追加し、実行をスケジュールして結果を生成します。 構成中に E メール・サーバーを構成すると、その結果を E メールでワーク・メンバーと共有できます。
- アプリケーションのメインページで、 照会の追加をクリックします。
- 「 新規照会の追加 」ウィンドウで、固有の 照会名を入力します。
- AQL クエリーを入力します。 例えば、
SELECT * FROM EVENTSなどです。
- 構成中に E メール・サーバーをセットアップする場合は、通知する E メール・アドレスを入力し、クエリーの完了時に E メール添付ファイルのフォーマットを選択します。 詳しくは、 QRadar Event and Flow Exporter の構成を参照してください。
- 特定の間隔でクエリーを自動的に実行する場合は、クエリーを実行するスケジュールを選択します。 また、クエリー実行数 (オカレンス 3 回など) の後に、スケジュールを終了するように選択することもできます。
- 追加した照会のサンプル実行を表示するには、 プレビューをクリックします。 プレビューでは、クエリーの構文エラーの有無が検査され、構文エラーがあるクエリーはアプリケーションに追加されません。
- 提供したデータを AQL クエリーで保存します。
- E メールまたはスケジュールの詳細を編集するには、照会名のリンクをクリックして「 照会の詳細 」ウィンドウを開きます。 変更を加えて保存します。
重要: 照会名または AQL 照会ストリングは照会結果に関連付けられているため、編集できません (ステップ 9 を参照)。
- 照会ストリングを編集するには、 コピー をクリックしてクリップボードにコピーし、テキスト・エディターに貼り付けます。 クエリー文字列を変更してから、更新された AQL クエリー文字列を使用して新規クエリーを作成してください。
- QRadar ® イベントおよびフロー・エクスポーターから照会を削除するには、該当するチェック・ボックスを選択して、メニュー・バーのごみ箱アイコンをクリックします。
このクエリーに関連付けられたクエリー結果およびスケジュールもすべて削除されます。
クエリーが「クエリー」テーブルに追加されます。