마지막 10분 동안 가장 많이 활성화된 최상위 5개의 디바이스 추적

이 예제에서는 마지막 10분 동안 사용자 환경에서 가장 많이 활성화된 최상위 5개의 디바이스를 추적하는 동적 시계열 차트를 작성합니다. QRadar® Pulse V2.1.4 이상에서 시계열 차트에는 추적할 디바이스를 모르거나 시계열 차트가 제대로 작동하기 어려운 경우에 유용한 동적 계열 옵션이 있습니다. 이 옵션은 자동으로 계열을 발견하여 시계열 차트에 별도의 행으로 표시합니다.

시작하기 전에

배경 정보는 QRadar Pulse의 시계열 차트 를 참조하십시오.

1. 대시보드 구성을 클릭하십시오.

   대시보드 구성 화면은 각 위젯에 대한 세부사항과 함께 사용 가능한 위젯의 라이브러리를 표시합니다.

2. 새 위젯 작성을 클릭하십시오.
3. 새 대시보드 항목 페이지에서 항목의 이름 및 설명을 입력하십시오.
4. 조회 섹션의 데이터 소스 목록에서 AQL 를 선택하고 다음 AQL문을 입력하십시오.

   SELECT MIN(starttime) as stime,
   LOGSOURCETYPENAME(devicetype) as device,
   devicetype as devices,
   count(*) as total
   FROM events
   WHERE devices IN (
      SELECT devices FROM (
          SELECT devicetype as devices,
          count(*) as topDevices
          FROM events
          where devicetype <> 368
          GROUP BY devices
          ORDER BY topDevices DESC
          LIMIT 3
          LAST 10 minutes
      )
   )
   GROUP BY starttime/(60*1000), device
   ORDER BY stime asc
   LAST 10 minutes

5. 새로 고치기 시간을 매 분으로 유지하고 결과 세트를 1000으로 유지하십시오.
6. 조회 실행을 클릭하십시오.
7. 보기 섹션에서 차트 동적 시계열을 호출하고 차트 유형으로 시계열 차트 를 선택하십시오.
8. 일반 탭에서 다음 옵션을 구성하십시오.
   1. 시간 (x축) 목록에서 stime을 선택하십시오.
   2. 동적 시리즈 옵션을 선택하십시오.
   3. 시리즈를 디바이스로 분할하십시오.
   4. 값 (y축) 목록에서 총계를 선택하십시오.
   5. 범례 표시 를 예 로 설정하고 방향을 설정하십시오.
9. 저장을 클릭하십시오.

결과

다음 화면 캡처는 차트 모양의 예제입니다.