É possível usar instruções Ariel Query Language (AQL) para criar widgets. O AQL é uma linguagem de consulta estruturada que você usa para extrair, filtrar e manipular dados de evento e fluxo do banco de dados Ariel no IBM® QRadar®.
Antes de iniciar
Leia os tópicos a seguir no IBM QRadar Ariel Query Language Guide para aprender sobre o Ariel Query Language que você usa no QRadar Pulse para criar itens de painel com base em origens de dados AQL:
Sobre esta tarefa
Os administradores não podem criar widgets ou painéis para outros usuários, mas eles conseguem compartilhar os próprios painéis com outros usuários.
Procedimento
- Clique em Configurar painel.
A tela Configurar painel exibe uma biblioteca de widgets disponíveis, com detalhes sobre cada widget.
- Clique em Criar novo widget.
- Na página Novo Item do Painel , digite um nome e uma descrição para o widget.
- Selecione AQL na lista de origens de dados na seção Consulta , e insira uma instrução AQL Para obter mais informações, consulte Dicas para criar consultas AQL para gráficos de painel.
- Insira parâmetros existentes na instrução. Clique no ícone Inserir parâmetro
e, em seguida, clique em Inserir para cada parâmetro relevante.
- Para alterar o valor padrão do parâmetro, clique no ícone Parâmetros De Visualização e clique em Salvar depois de configurar o valor padrão.
Ao mudar o valor padrão de um parâmetro, ele é mudado em todos os lugares nos quais o parâmetro é usado em sua área de trabalho, exceto em painéis e widgets expandidos ou fixados. Se você não configurar o valor como padrão, a mudança atualizada se aplicará apenas à sessão atual. No entanto, se você configurar o valor como padrão, o valor da sessão atual também usará esse valor.
Dica: O parâmetro SYSTEM:username predefinido retorna o nome do usuário que efetuou login. Os parâmetros do sistema são do tipo somente leitura e não é possível mudar o valor padrão.
- Para adicionar um parâmetro em sua área de trabalho, clique em Adicionar, dê ao parâmetro um nome e valor padrão, se necessário, e em seguida, clique em Salvar.
Dica: depois de incluir parâmetros em um widget em um painel pela primeira vez, o cartão Parâmetros aparecerá no painel. Quando você remove parâmetros do widget e nenhum outro widget nesse painel usa o parâmetro, a placa Parâmetros desaparece.
- Escolha um tempo de atualização para a frequência com que você pesquisa a origem de dados. Escolha uma taxa de atualização maior que o tempo de consulta selecionado. A taxa de atualização padrão é cada 5 minutos. Quanto menor o tempo de atualização, maior o impacto no desempenho no IBM QRadar. O cronômetro para a taxa de atualização começa após a conclusão da consulta.
Por exemplo, se a taxa de atualização for a cada minuto e a consulta demorar três minutos para ser concluída, a taxa de atualização começará somente após o término dos três minutos.
- Clique em Executar Consulta.
Ao criar o widget pela primeira vez, não será possível configurar os gráficos se não houver resultados de dados retornados. Tente tornar os critérios nos campos menos rigorosos e execute a consulta novamente.
Se sua consulta de
AQL contiver parâmetros sem nenhum valor, insira-os na página
Parâmetros. Insira um valor para cada parâmetro para que a consulta seja executada com êxito. Se a consulta for bem-sucedida, os resultados serão exibidos ao lado da instrução.
- Crie uma visualização na seção Visualizações .
Como é possível criar várias visualizações e gráficos por meio da mesma consulta, dê um nome exclusivo à visualização. Por padrão, o título e o status do gráfico na barra de título são exibidos; para ocultá-los,
clique no ícone Mais opções e alterne as configurações para
Desativado.
- Selecione um tipo de gráfico e configure as propriedades relevantes. Para casos de uso para ajudá-lo a decidir qual tipo de gráfico usar, consulte Tipos de gráfico de widgets.
- Preview como o gráfico parece e depois clique em Salvar.
Dica: os rótulos para o gráfico têm como origem as consultas usadas. Se eles forem ininteligíveis no visualização, edite os rótulos na seção Visualizar.
Resultados
É possível editar um widget e salvá-lo sem executar novamente a consulta. Por exemplo, se uma consulta não retornar resultados, como quando o período de tempo não é longo o suficiente para capturar novos eventos, ou se o valor de magnitude ou de gravidade não for aplicável ao executar a consulta, será possível salvar o widget. Ao editar a consulta, ela deve ser executada novamente para que seja possível salvar o widget.
Excluir um widget o remove de cada painel ao qual ele pertence. Se o painel excluído contiver parâmetros, eles não serão excluídos.