サンプル・イベント、ログ・ソース、およびストレージ使用量の AQL ステートメント

以下のサンプルを使用してイベント、ログ・ソース、およびストレージの使用状況をモニターするか、要件に合うように照会を編集することができます。

ログ・ソースのサマリー

ログ・ソースの数、EPS、および未解析のイベントのパーセンテージなど、固有のログ・ソース・タイプのリストを提供します。

SELECT LOGSOURCETYPENAME(devicetype) AS "LogSourceType",UNIQUECOUNT(logsourceid) as "Number of Log Sources",
COUNT(*)/3600 as "EPS",(DOUBLE(COUNT(isunparsed)) / COUNT(*)) * 100 AS "PercentUnparsed" 
FROM events 
GROUP BY devicetype 
ORDER BY "PercentUnparsed" 
DESC 
LAST 1 HOURS

(トップ)


固有イベント

固有イベントとログ・ソース・タイプ、QID、上位カテゴリー、下位カテゴリー、およびイベント数のリストを提供します。

SELECT LOGSOURCETYPENAME(devicetype) AS "Log Source Type",
QIDNAME(qid) AS "Event Name", 
qid as "QID", 
CATEGORYNAME(highlevelcategory) AS "High-level Category", 
CATEGORYNAME(category) AS "Low-level Category", 
LONG(COUNT(*)) as "Number of Events" 
FROM events 
GROUP BY qid, devicetype 
ORDER BY COUNT(*)  
DESC 
LAST 1 HOURS

(トップ)


未解析のイベントのパーセンテージ

各ログ・ソース・タイプの未解析のイベントのパーセンテージを提供します。 未解析が 20% を超えるログ・ソースには対応する必要があります。

SELECT LOGSOURCETYPENAME(devicetype) AS "Log Source Type",
devicetype AS "Log Source ID", 
LONG(UNIQUECOUNT(logsourceid)) as "Number of Log Sources", 
LONG(SUM(eventcount)) as "Total Events", 
LONG(COUNT(*)) as "Aggregated Events", 
LONG(COUNT(isunparsed)) AS "Unparsed Events", 
STR(LONG(SUM(eventcount)/24*3600)) as "EPS",
LONG("Unparsed Events"*100) / "Total Events" AS "PercentUnparsed" 
FROM events 
GROUP BY devicetype 
ORDER BY "PercentUnparsed","Unparsed Events" 
DESC 
LAST 24 HOURS

(トップ)


特定のログ・ソース・タイプの未解析のイベントのパーセンテージ

特定の 1 つのログ・ソース・タイプ (例えば、devicetype=11) の解析の問題をさらに調査するために、ログ・ソースごとの統計の内訳を返す以下の照会を実行できます。

SELECT LOGSOURCENAME(logsourceid) AS "Log Source Name", 
LONG(SUM(eventcount)) as "Total Events", 
LONG(COUNT(*)) as "Aggregated Events", 
LONG(COUNT(isunparsed)) AS "Unparsed Events", 
STR(LONG(SUM(eventcount)/24*3600)) as "EPS",
LONG("Unparsed Events"*100) / "Total Events" AS "PercentUnparsed" 
FROM events 
WHERE  devicetype=11 
GROUP BY logsourceid 
ORDER BY "PercentUnparsed","Unparsed Events" 
DESC 
LAST 24 HOURS
ヒント: ご使用の環境に応じ必要であればフィールドを追加してください。 devicetype=11 変数の AQL パラメーターを作成します。 詳しくは、 ダッシュボードのパラメーターの作成を参照してください。

(トップ)


ルール当たりの部分一致の数

指定された期間内の部分一致の数を示す、すべてのルールおよびビルディング・ブロックのリストを提供します。

SELECT RULENAME(partialmatchlist) as "Rule Name", 
LONG(COUNT(*)) as "Number of Partial Matches" 
FROM events 
WHERE partialmatchlist IS NOT NULL  
GROUP BY "Rule Name" 
ORDER BY "Number of Partial Matches" 
DESC 
LAST 1 HOURS

(トップ)


イベント・プロセッサー当たりの部分一致の数

指定された期間内の部分一致の数を示す、すべてのルールおよびビルディング・ブロックのリストを提供します。

SELECT HOSTNAME(processorid) as "Event Processor Name", 
LONG(COUNT(*)) as "Number of Partial Matches" 
FROM events 
WHERE partialmatchlist IS NOT NULL  
GROUP BY "Event Processor Name" 
ORDER BY "Number of Partial Matches" 
DESC 
LAST 1 HOURS

ルール当たりおよびイベント・プロセッサー当たりの部分一致の数

指定された期間内のルール当たりの部分一致の数を含む、すべてのルールおよびビルディング・ブロックのリストを提供します。

SELECT HOSTNAME(processorid) as "Event Processor Name", 
RULENAME(partialmatchlist) as "Rule Name", 
LONG(COUNT(*)) as "Number of Partial Matches" 
FROM events 
WHERE partialmatchlist IS NOT NULL  
GROUP BY "Event Processor Name", "Rule Name" 
ORDER BY "Number of Partial Matches" 
DESC 
LAST 1 HOURS

(トップ)


ログ・ソース・タイプ当たりのストレージ使用量

1 日の間に各ログ・ソース・タイプによって使用されたストレージの内訳を提供します。

注: この照会には、 QRadar® 索引に使用されるストレージは含まれません。 ただし、大半の索引は、ログ・ソース・タイプやペイロードのサイズに関係なく、すべてのイベントに均等に分散されます。
SELECT 
LOGSOURCETYPENAME(deviceType) AS LogSource, 
LONG(MIN(STRLEN(UTF8(payload)))) AS "Minimum Payload Size (Bytes)", 
LONG(MAX(STRLEN(UTF8(payload)))) AS "Maximum Payload Size (Bytes)", 
LONG(AVG(STRLEN(UTF8(payload)))) AS "Average Payload Size (Bytes)", 
LONG(STDEV(STRLEN(UTF8(payload)))) AS "Standard Deviation (Bytes)",
LONG(COUNT(logsourceid)) AS EventCount,
LONG(EventCount * "Average Payload Size (Bytes)") / (1024 * 1024)  as "Total Storage (MB)"
FROM events 
GROUP BY deviceType 
ORDER BY "Total Storage (MB)" 
DESC
LAST 24 HOURS

(トップ)


ストレージの使用状況

すべての QRadar アプライアンスで使用されているストレージの量の日次要約を提供します。

SELECT DATEFORMAT(starttime, 'yyyy-MM-dd') as "Date", "Hostname" as "QRadar Appliance Name", 
LONG(MAX("Value")/(1024*1024*1024)) as "Storage Used (GB)"
FROM events 
WHERE (qid = 94000001) AND ((LONG(starttime/1000)%(24*3600)) < 20) AND ("Metric ID" = 'DiskSpaceUsed') AND (Element = '/store')
GROUP BY "Date", "Hostname"
ORDER BY "Date", "Hostname"
ヒント: 検索結果が返ってくるように 1 日以上検索を実行してください。 結果を改善するには、Metric ID カスタム・プロパティーに索引を付けます。

(トップ)


CPU 使用率

すべての QRadar アプライアンス上の各コンポーネントによって使用される CPU 時間の明細を示します。

SELECT DATEFORMAT(starttime, 'yyyy-MM-dd') as "Date", "Hostname" as "QRadar Appliance Name", 
"Component Type", LONG(SUM("Value")) as "CPU Time"
FROM events 
WHERE (qid = 94000001)  AND ("Metric ID" = 'ProcessCPUTime') 
GROUP BY "Date", "Hostname", "Component Type"
ORDER BY "Date", "Hostname", "Component Type"

(トップ)


メモリー使用率

すべての QRadar アプライアンス上の各コンポーネントによって使用されるヒープ・メモリーの明細を提供します。

SELECT DATEFORMAT(starttime, 'yyyy-MM-dd') as "Date", "Hostname" as "QRadar Appliance Name", 
"Component Type", LONG(SUM("Value")/(1024*1024*1024)) as "Memory Usage Per Day (GB)"
FROM events 
WHERE (qid = 94000001)  AND ("Metric ID" = 'HeapMemoryUsed') 
GROUP BY "Date", "Hostname", "Component Type"
ORDER BY "Date", "Hostname", "Component Type"

(トップ)


高負荷の CEP、ログ・ソース、およびルール

QRadarによって識別される高負荷の複合イベント処理 (CEP)、ログ・ソース、およびルールの完全なリストを提供します。
注: このステートメントは、 QRadar Development Intelligence アプリケーションのカスタム・プロパティー expensivecp、 expensivelogsource、および expensiverulesを使用します。
SELECT DATEFORMAT(starttime,'yyyy-MM-dd HH:mm:ss') as "timestamp",sourceip, "expensivecp","expensivelogsource","expensiverules", UTF8(payload)
FROM events 
WHERE devicetype=147 AND (expensivecp is not NULL OR expensivelogsource is not NULL OR expensiverules is not NULL) 
ORDER BY timestamp 
DESC
LAST 48 HOURS

(トップ)


高負荷の検索

過去 24 時間に実行された検索のリストを提供します。 このリストは、実行時間に基づいてソートされます。

注: このステートメントは、 QRadar Development Intelligence アプリケーションのカスタム・プロパティー expensivecp、 expensivelogsource、および expensiverulesを使用します。
SELECT "searchid", "searchpriority", "searchlimit", "searchtime" 
FROM events 
WHERE qid=28250295 
ORDER BY searchtime 
DESC 
LAST 24 HOURS

(トップ)


ユーザーによって実行された AQL 検索

各ユーザーによって実行されたすべての検索のリストを提供します。

注: このステートメントは、 QRadar Development Intelligence アプリケーションのカスタム・プロパティー expensivecp、 expensivelogsource、および expensiverulesを使用します。
SELECT username, "Ariel Source", "Ariel Cursor ID", "searchpriority", "AQL Statement" 
FROM events 
WHERE qid=28250254 
ORDER BY username 
LAST 2 HOURS

(トップ)


照会の例のコピー

単一引用符または二重引用符が含まれる照会の例をコピーして貼り付けるときは、照会が確実に解析されるように、引用符を再入力する必要があります。