イベントおよびフロー照会の例
照会の例を使用するか、編集して、AQL 検索に使用できるイベントおよびフロー照会を作成できます。
次の照会例を使用して、ご使用のネットワークのイベントおよびフローに関する情報を取得するか、これらの例を編集して、独自のカスタム照会を作成します。
重要: イベントを照会するときは、 events を小文字で入力する必要があります。
特定のホストのイベント速度とフロー速度
SELECT AVG(Value), "Metric ID", Hostname
FROM events
WHERE LOGSOURCENAME(logsourceid)
ILIKE '%%health%%'
AND ("Metric ID"='FlowRate' OR "Metric ID"='EventRate')
GROUP BY "Metric ID", Hostname
LAST 15 minutesこの照会では、イベント・データベースまたはフロー・データベースの過去 15 分間の AVG_Value、Metric ID、および Hostname の各列が出力されます。
AVG_Value 列からは、Hostname 列に名前が指定されているホストの、過去 15 分間の平均フロー速度または平均イベント速度の値が返されます。ログ・ソースごとの EPS 速度
SELECT logsourcename(logsourceid)
AS 'MY Log Sources',
SUM(eventcount) / 2.0*60*60
AS EPS_Rates
FROM events
GROUP BY logsourceid
ORDER BY EPS_Rates DESC
LAST 2 HOURSこの照会では、イベントの My Log Sources 列と EPS_Rates 列が出力されます。
My Log Sources 列からは、ログ・ソース名が返され、EPS_Rates 列からは、ログ・ソースごとの過去 2 時間の EPS 速度が返されます。1 日あたりのイベント数とイベント・タイプ
SELECT
DATEFORMAT( devicetime, 'dd-MM-yyyy')
AS 'Date of log source',
QIDDESCRIPTION(qid)
AS 'Description of event', COUNT(*)
FROM events
WHERE devicetime >( now() -(7*24*3600*1000) )
GROUP BY "Date of log source", qid
LAST 4 DAYS
この照会では、events から Date of log source、Description of event、および count の各イベント列が出力されます。
過去 4 日間のイベントの日付、イベントの説明、およびイベントの数が返されます。
ローカルからリモートへのフロー・トラフィックのネットワーク別モニター
SELECT sourceip,
LONG(SUM(sourcebytes+destinationbytes))
AS TotalBytes
FROM flows
WHERE flowdirection= 'L2R'
AND NETWORKNAME(sourceip)
ILIKE 'servers'
GROUP BY sourceip
ORDER BY TotalBytesこの照会では、sourceip 列と TotalBytes 列が出力されます。
TotalBytes 列からは、ローカルからリモートに渡る送信元と宛先のバイト数合計が返されます。
リモートからローカルへのフロー・トラフィックのネットワーク別モニター
SELECT sourceip,
LONG(SUM(sourcebytes+destinationbytes))
AS TotalBytes
FROM flows
WHERE flowdirection= 'R2L'
AND NETWORKNAME(sourceip)
ILIKE 'servers'
GROUP BY sourceip
ORDER BY TotalBytesこの照会では、sourceip 列と TotalBytes 列が出力されます。
TotalBytes 列からは、リモートからローカルへの送信元と宛先のバイト数合計が返されます。
AQL ガイドからの照会例のコピー
AQL ガイドから照会引用符または二重引用符が含まれる照会の例をコピーして貼り付けるときは、照会が確実に解析されるように、引用符を再入力する必要があります。