SELECT ステートメント

SELECT ステートメントを使用して、イベントまたはフローのデータを取得するのに使用する条件を定義します。

SELECT ステートメントを使用して、照会から出力する列 (フィールド) を定義します。 SELECT ステートメントを使用することで、列の別名を使用して AQL 関数からデータを出力できます。通常、SELECT ステートメントではイベントまたはフローを参照しますが、SELECT ステートメントを GLOBALVIEW データベースや、アクセス権を持っている他のデータベースとともに使用することもできます。

SELECT ステートメントを使用して、照会の出力に表示する列を選択します。

SELECTステートメントには、以下の要素を含められます。

イベントまたはフローのデータベースのフィールド
イベントまたはフローのデータベースのカスタム・プロパティー
返す目的の特定のデータを表すためにフィールドとともに使用する関数
たとえば、この関数 ASSETHOSTNAME(sourceip)は、特定の時間に送信元IPアドレスでアセットのホスト名を検索します。

すべての列を表すには、アスタリスク (*) を使用します。

フィールド名、および SELECT ステートメントと FROM ステートメントは、大/小文字が区別されません。例えば、次の照会は大/小文字を混在させて使用していますが、解析されます。

select Sourceip, DATEFORMAT(starTTime,'YYYY-MM-dd HH:mm') as startTime from events WHERE username is noT Null GROUP BY sourceip ordER BY starttime lAsT 3 houRS

SELECT ステートメントを使用する照会を次の例に示します。

SELECT * FROM flows
flows データベースからすべての列を返します。
SELECT sourceip, destinationip FROM events
events データベースから sourceip 列と destinationip 列のみを返します。
SELECT sourceip, * FROM flows
flows データベースから sourceip 列を最初に返し、続いてすべての列を返します。
SELECT sourceip AS 'MY Source IPs' FROM events
sourceip 列を、別名、つまり名前を変更した列「MY Source IPs」として返します。
SELECT ASSETHOSTNAME(sourceip) AS 'Host Name', sourceip FROM events
関数ASSETHOSTNAMEの出力を列名Host Nameとして返し、sourceip列をイベント・データベースから返します。