AQL ベースのウィジェットでのパラメーターのユース・ケース

パラメーターを使用すると、複数の AQL 照会で簡単に共通のエレメントを再使用し、より容易にウィジェットを作成して共有できるようになります。類似のエンティティーに対する単一の照会を作成する必要はなくなりました。パラメーターを使用するすべての照会で値を自動的に使用できます。

コンソールの IP など、共通のエンティティーを表すためにパラメーターを使用します。例えば、関連するすべてのグラフの各照会に固有の IP アドレスを入力するのではなく、特定の IP アドレスを Console_IP パラメーターに追加します。そのパラメーターを使用するすべてのワークスペースのウィジェットが即時に更新されます。

特定のユーザーに関するイベントの検索

SOC の上級アナリストとして、ユーザー Bob の疑わしい行動を調査するとします。 Bob が悪意のある行動を取った場合に注意する必要がある情報をキャプチャーするダッシュボードを作成します。例えば、過去 1 時間における Bob に関連したログインの回数です。 username、events per user、time period、time value、sourceip、および destinationip のパラメーターを作成します。

上位のイベント・カテゴリー、上位 10 個のログ・ソース、イベントの場所、ユーザー当たりのイベント数、および時刻を対象とするウィジェットを組み込みます。ダッシュボードをエクスポートして他のユーザーと共有すると、他のユーザーは、Bob のユーザー名を目的のユーザー名に置き換えることができます。

特定の期間におけるイベントの調査

時系列グラフでは、ログイン失敗イベントの回数の大きなスパイクが表示されます。期間を変更して、照会を再実行すると、スパイクの開始時が分かります。例えば、期間を過去 4 日間から過去 30 日間に変更する場合、それがスパイクの開始時であるかどうかが分かります。

他のユーザーとのダッシュボードの共有

チームは、世界中の複数の管理対象ホストを管理する責任を共有しています。上位ディスク使用やディスク使用分布といった各種の正常性メトリックについて特定のサーバーをモニターするダッシュボードを作成します。 servername のパラメーターを作成して、ダッシュボードを同僚と共有します。同僚は、モニター対象のサーバーの名前をパラメーター値に追加するだけで、そのサーバーに固有の結果を得られます。