QRadar ユーザー・インターフェースの Ariel 照会言語
AQL を使用すると、拡張検索を強化して、特定の結果を提供することができます。
AQLクエリを使用すると、ログアクティビティタブまたはネットワークアクティビティタブにすべてのQRadar®データを表示できます。
検索フィールドで AQL を使用するには、以下の機能を考慮してください。
- 「ログ・アクティビティー」タブまたは「ネットワーク・アクティビティー」タブの検索フィールドでは、Ctrl + Space を押すと、AQL 関数、フィールド (プロパティー)、およびキーワードの完全なリストが表示されます。
- Ctrl + Enter を押すと、ユーザー・インターフェースで複数行にわたる AQL 照会を作成でき、照会が読みやすくなります。
- コピー ((Ctrl + C) や貼り付け (Ctrl + V) のキーボード・コマンドを使用すると、「拡張検索」フィールドとの間で直接コピーできます。注: 検索フィールドに照会をコピーする際には、必ず適切な引用符を使用してください。
AQL カテゴリーは、入力されたコンポーネントとともにユーザー・インターフェースにリストされます。 以下の表で、各種カテゴリーをリストし説明します。
図1： 拡張検索フィールドの AQL
| カテゴリー | 定義 |
|---|---|
| データベース | 照会が可能な Ariel データベース (表) の名前。 データベースは events または flowsのいずれかです。 |
| キーワード | 通常は中核的な SQL 節。 例えば、 SELECT、 OR、 NULL、 NOT、 AS、 ASC (昇順)、その他です。 |
| フィールド | データベースから照会できる基本的な情報を示します。 例: Access intent、VPC ID、domainid など。 |
| 機能 | 詳細を呼び出すために使用される関数の名前。 関数は、すべてのフィールドおよびデータベースで機能します。 関数の例には DATEFORMAT、HOSTNAME、LOWER などがあります。 |