Casos de uso para parâmetros em widgets baseados em AQL
Os parâmetros ajudam a simplificar a reutilização de elementos comuns em várias consultas AQL para que seja mais fácil criar widgets e compartilhá-los. Não é mais necessário criar consultas únicas para entidades semelhantes. Qualquer consulta que use o parâmetro pode usar automaticamente o valor.
Use parâmetros para representar entidades comuns, como o IP do seu console. Por exemplo, em vez de digitar o endereço IP exclusivo em cada consulta de cada gráfico relevante, inclua o endereço IP específico no parâmetro Console_IP. Quaisquer widgets da área de trabalho que usarem esse parâmetro serão atualizados instantaneamente.
Eventos de procura para um usuário específico
Você é um analista sênior em um SOC e deseja investigar algum comportamento suspeito de um de seus usuários, Bob. Construa um painel que capture as informações com as quais você deve se preocupar quando Bob fizer algo malicioso. Por exemplo, quantos logins estão associados ao Bob na última hora? Crie parâmetros para username, events per user, time period, time value, sourceip e destinationip.
Inclua widgets que abranjam as principais categorias de eventos, as 10 principais origens de log, a localização de eventos, os eventos por usuário e o horário do dia. Ao exportar e compartilhar o painel com outros usuários, eles poderão substituir o nome do usuário Bob pelo nome do usuário de sua escolha.
Investigar eventos durante períodos de tempo específicos
Em um gráfico de séries temporais, você vê um pico grande no número de eventos de falha de login. Mude o período de tempo e execute a consulta novamente para ver quando o pico começou. Por exemplo, se você mudar o período de tempo para os últimos 30 dias, em vez dos últimos quatro, foi aí que o pico começou?
Compartilhando painéis com terceiros
Sua equipe compartilha a responsabilidade de gerenciar vários hosts gerenciados em todo o mundo. Você cria um painel que monitora servidores específicos para várias métricas de funcionamento, como uso do disco principal e distribuição de uso do disco. Crie um parâmetro para servername e, em seguida, compartilhe o painel com seus colegas. Tudo o que eles precisam fazer é incluir os nomes de servidores que eles monitoram nos valores de parâmetros e eles obterão resultados específicos para seus servidores.