Предыдущий

Следующая

Упражнение. Примеры запросов

Завершено

В предыдущем уроке мы рассмотрели общую структуру запроса KQL. Теперь давайте попробуем выполнить несколько примеров запросов.

Доступ к демонстрационной среде запросов

Некоторые продукты, использующие KQL, предлагают бесплатные среды, которые можно использовать для практических запросов. Выберите одну из следующих вкладок, которые соответствуют среде запросов, которую вы хотите использовать.

Обозреватель данных Azure

Azure Data Обозреватель предлагает кластер справки с различными типами предварительно загруженных данных. Доступ к этому кластеру можно получить с помощью веб-интерфейса Обозреватель данных Azure.

Кластер справки Обозреватель данных Azure

Необходимые компоненты

Для этой среды требуется учетная запись Майкрософт или удостоверение пользователя Microsoft Entra.

Выполнение примера запроса

Следующий запрос ответит на вопрос: "Что было 10 лучших повреждений собственности, вызванных наводнениями?"

Выполнить запрос

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

Ниже приведен пошаговый анализ того, как запрос обрабатывает данные.

1. Запрос начинается с таблицы в StormEvents виде табличных входных данных.
2. Он фильтрует записи, для которых EventType столбец точно равен наводнению.
3. Результирующий список отсортирован в порядке убывания в зависимости от значения в столбце DamageProperty .
4. Наконец, возвращаются первые 10 записей.

Azure Monitor или Microsoft Sentinel

Microsoft Sentinel и Log Analytics в Azure Monitor используют демонстрационную среду, доступ к которой осуществляется путем поиска и выбора журналов в портал Azure.

Демонстрационная среда Log Analytics

Необходимые компоненты

Для этой среды требуется подписка Azure. Создайте бесплатную учетную запись Azure.

Выполнение примера запроса

Следующий запрос ответит на вопрос: "Что было самым длинным 10 самым длинным запросом журнала ответов за прошлый день?"

Выполнить запрос

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

Ниже приведен пошаговый анализ того, как запрос обрабатывает данные.

1. Запрос начинается с таблицы в LAQueryLogs виде табличных входных данных.
2. Он фильтрует записи, для которых TimeGenerated столбец находится в диапазоне от 24 часов назад до настоящего дня.
3. Результирующий список отсортирован в порядке убывания в зависимости от значения в столбце ResponseDurationMs .
4. Наконец, возвращаются первые 10 записей.

Azure Resource Graph

Доступ к Обозреватель Azure Resource Graph осуществляется путем поиска и выбора Обозреватель Resource Graph в портал Azure.

Обозреватель Azure Resource Graph

Необходимые компоненты

Для этой среды требуется подписка Azure. Создайте бесплатную учетную запись Azure.

Выполнение примера запроса

Следующий запрос ответит на вопрос: "Что было самыми последними включенными ресурсами хранилища" в начале 10?

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

Ниже приведен пошаговый анализ того, как запрос обрабатывает данные.

1. Запрос начинается с таблицы в Resources виде табличных входных данных.
2. Он фильтрует записи, для которых type столбец содержит хранилище терминов.
3. Результирующий список отсортирован в порядке убывания по значению LastEnabledTime в динамическом propertiesполе.
4. Наконец, возвращаются первые 10 записей.

Продолжить