QRadar Pulse 의 시계열 차트

원래 조회를 사용하는 경우 다음 기법 중 하나를 사용하여 데이터를 그룹화할 수 있습니다.

• GROUP BY절을 사용하여 GROUP BY starttime/60000 간격을 작성합니다. starttime은 밀리초 단위로 표시되므로 60,000(60초 x 1000밀리초)으로 나누는 경우 60초(1분)의 그룹 또는 간격을 작성하게 됩니다.
• sTime 집합을 사용하도록 ORDER BY절을 변경합니다.

이 조회는 다음과 같은 코드로 변경됩니다.

select starttime as 'sTime',
SUM(eventcount) as 'Event Count (Sum)'
from events
where eventcount > 0
GROUP BY starttime/60000
order by "sTime"
LAST 60 minutes

이제 데이터가 시각적으로 더욱 유용하게 되었으며 하나의 데이터 점이 매 분마다 발생하게 됩니다. 간격이 올바르게 정의되었기 때문에 데이터를 더욱 익숙한 시계열 형식으로 형식화하기 위한 몇 가지 전략을 사용할 수 있습니다.

시계열 차트를 작성하는 한 가지 방법은 Pulse에서 계열을 직접 나타내는 열로 데이터 행을 피벗하는 것입니다. 예를 들어 사용자의 유스 케이스가 1분의 간격마다 특정 디바이스에 대한 이벤트를 계수하는 것일 경우 그래프에 표시할 각각의 계열별로 별도의 조건부 집합을 작성해야 합니다.

SUM(IF LOGSOURCETYPENAME(devicetype) = 'System Notification' THEN 1.0 ELSE 0.0) 
as system_notification
SUM(IF LOGSOURCETYPENAME(devicetype) = 'SIM Audit' THEN 1.0 ELSE 0.0) as sim_audit

The full query looks like the following example:

SELECT starttime/(1000*60) as 'minute',
(minute * (1000*60)) as 'stime',
SUM(IF LOGSOURCETYPENAME(devicetype) = 'System Notification' THEN 1.0 ELSE 0.0) 
as system_notification,
SUM(IF LOGSOURCETYPENAME(devicetype) = 'SIM Audit' THEN 1.0 ELSE 0.0) as sim_audit
FROM events
WHERE devicetype <> NULL
GROUP BY minute
ORDER BY stime asc
LAST 10 minutes

이 조회는 System Notification 및 SIM Audit 디바이스 양쪽에 대한 행 데이터를 가져와서 차트의 계열에 해당하는 별도의 컬럼으로 피벗합니다.

다음 이미지는 행을 피벗하기 위한 보기 구성 및 차트 표시를 보여줍니다.

찾고 있는 디바이스가 무엇인지 사전에 모르고 있거나 마지막 1시간 동안 가장 많이 활성화된 최상위 5개의 디바이스를 그래프로 표시하려는 경우 어떻게 해야 합니까? QRadar Pulse V2.1.4에서 동적 시계열을 작성할 수 있습니다. 두 번째 전략에서는 데이터 행을 컬럼으로 피벗하지 않고 2차 GROUP BY절(예제에서는 "device"로 표시됨)을 사용하여 동적 시계열을 작성합니다.

SELECT starttime/(1000*60) as 'minute', 
MIN(starttime) as 'stime', 
eventcount as 'eventCount', devicetype as 'deviceType',
LOGSOURCETYPENAME(devicetype) as 'device', 
count(*) as 'total'
FROM events
WHERE deviceType IN (
    SELECT deviceType FROM (
        SELECT devicetype as 'deviceType', 
        count(*) as 'total'
        FROM events
        GROUP BY deviceType
        ORDER BY total DESC
        LIMIT 8
        LAST {Time_Span}
    )
) and devicetype not in (18,105,147,368)
GROUP BY minute, device
ORDER BY minute asc
LAST {Time_Span}

이 조회에 대해 리턴되는 결과는 다음 이미지와 유사합니다.

하지만 몇 가지 위험 요소에 대해 인지해야 합니다. 데이터 행이 컬럼으로 피벗되지 않기 때문에 데이터의 크기가 훨씬 커지며 디바이스의 수에 비례하여 늘어납니다. QRadar Pulse 는 데이터를 처리하므로 데이터 크기가 브라우저의 전체 응답성에 부정적인 영향을 줄 수 있습니다. 성능 저하를 방지하기 위해 QRadar Pulse 는 발견하는 처음 20개의 데이터 시리즈를 렌더링하고 후속 시리즈를 무시합니다. WHERE절을 사용하여 동적 시계열에서 사용할 데이터 세트를 제한(LIMIT) 및 순서 지정(ORDER)함으로써 데이터의 크기를 제한하십시오. 예를 들어 유스 케이스가 "마지막 10분 동안 가장 많이 활성화된 최상위 3개의 디바이스를 계수하되 'Health Metrics'는 제외함"인 경우 다음과 같은 조회를 작성하십시오.

SELECT starttime/(1000*60) as 'minute', (minute * (1000*60)) as 'stime', LOGSOURCETYPENAME(devicetype) as 'device', count(*) as 'total'
FROM events
WHERE device IN (
    SELECT deviceList FROM (
        SELECT LOGSOURCETYPENAME(devicetype) as deviceList, count(*) as topDevices
        FROM events
        WHERE deviceList <> 'Health Metrics'
        GROUP BY deviceList
        ORDER BY topDevices DESC
        LIMIT 3
        LAST 10 minutes
    )
)
GROUP BY minute, device
ORDER BY stime asc
LAST 10 minutes

이 조회는 더욱 효율적이며 렌더링되는 세 개의 계열이 선택한 시간 범위 동안 가장 많이 활성화된 최상위 3개의 디바이스에 해당되도록 합니다.