Abfragesuche

Mit Oracle Log Analytics können Sie eine zuletzt verwendete Suche auswählen und ausführen. Wenn Sie auf das Feld "Suchen" klicken oder Text in das Feld "Suchen" eingeben, zeigt Oracle Log Analytics eine Liste der zuletzt verwendeten Suchvorgänge in der Liste an. Auf diese Weise können Sie schnell auf die zuletzt verwendeten Suchbefehle zugreifen. Sie können einen der aufgeführten Befehle auswählen und auf Ausführen klicken, um den ausgewählten Suchbefehl auszuführen.

Mit der Oracle Log Analytics-Benutzeroberfläche können Sie Suchabfragen formulieren.

Mit den folgenden Elementen der UI können Sie Suchabfragen formulieren:

• Suchleiste: Hier wird die Suchabfrage angezeigt. Sie können den Text in diesem Feld direkt bearbeiten, um die Suchergebnisse weiter einzugrenzen.

  Die Suchleiste wird entsprechend der Anzahl der Zeilen, die der Abfrage hinzugefügt wurden, vergrößert oder verkleinert. Sie enthält maximal 21 Zeilen und mindestens 1 Zeile. Einige der verfügbaren benutzerdefinierten Shortcuts:

  • STRG + i: Jede Textzeile im Editor einrücken. Beachten Sie, dass mit der Option I in Großbuchstaben der Debugger geöffnet wird.
  • STRG + Eingabetaste: Im Editor angezeigte Abfrage ausführen
  • STRG + Leertaste: Liste der Autovervollständigungsoptionen basierend auf der Cursorposition anzeigen
  • STRG + Z: Letzte Bearbeitung rückgängig machen
  • STRG + Y: Letzte Bearbeitung wiederholen
  • STRG + D: Aktuelle Zeile löschen

  Hinweis: Verwenden Sie die SHIFT-Taste nur, wenn angegeben.

  Positionieren Sie den Cursor in den öffnenden oder schließenden Klammern, um das übereinstimmende Element hervorzuheben. Die Elemente ( ) und [ ] können hervorgehoben werden.

  Die Suchleiste unterstützt zwei verschiedene Themes: Farbe und Graustufen. Sie können die Themes dynamisch ändern, indem Sie die Option im Hilfe-Popup-Fenster ändern.

• Feld: Der Bereich Feld ist in die folgenden Abschnitte unterteilt:

  • Mit den Attributen unter Gepinnt können Sie Logdaten auf folgender Basis filtern:

    • Logquellen, wie Datenbanklogs, Oracle WebLogic Server-Logs usw.

    • Logentitys (die eigentlichen Logdateinamen).

    • Labels. Hierbei handelt es sich um Tags, die Logeinträgen hinzugefügt werden, wenn Logeinträge bestimmten definierten Bedingungen entsprechen.

    • Uploadnamen von bei Bedarf hochgeladenen Logdaten.

    Standardmäßig sind die Entitys und Collection-Details im Bucket "Gepinnt" des Bereichs Felder zum Filtern verfügbar. Sie können je nach Verwendung zusätzliche Felder im Bucket "Gepinnt" pinnen. Nach dem Pinnen werden die Felder in den Bucket "Gepinnt" verschoben. Sie können jedes gepinnte Feld trennen und aus dem Bucket "Gepinnt" entfernen und es wieder in den Bucket "Interessant" oder "Sonstige" verschieben.

  • Basierend auf Ihrer Suche und Ihren Abfragen fügt Oracle Log Analytics automatisch Felder zum Bucket Interessant zur Schnellreferenz hinzu. Sie können ein Feld pinnen, das im Bucket "Interessant" verfügbar ist. Das gepinnte Feld wird dann in den Bucket "Gepinnt" verschoben.

  • Sie können jedes Feld im Bucket Sonstige pinnen und in den Bucket "Gepinnt" verschieben. Wenn Sie ein Feld aus dem Bucket "Sonstige" in einer Suche oder Abfrage verwenden, wird es in den Bucket "Interessant" verschoben.

    Die ausgewählten Optionen werden der Abfrage in der Suchleiste automatisch hinzugefügt.

• Visualisieren: In diesem Bereich können Sie festlegen, wie die Suchergebnisse angezeigt werden sollen. Im Feld Gruppieren nach können Sie festlegen, nach welchen Metriken die Ergebnisse gruppiert werden sollen.

• Speichern: Mit dieser Schaltfläche speichern Sie die Suchabfrage, die sich derzeit im Feld Suchen befindet, für die Ausführung an einem späteren Zeitpunkt.

• Öffnen: Mit dieser Schaltfläche können Sie zuvor gespeicherte Suchabfragen anzeigen. Sie können diese Abfragen ausführen und aktuelle Ergebnisse abrufen oder mit diesen Abfragen Dashboards erstellen.

• Neu: Mit dieser Schaltfläche können Sie eine neue Suchabfrage starten.

• Exportieren: Mit dieser Schaltfläche können Sie das Ergebnis der aktuellen Suchabfrage in eine Datei im Format Comma-seperated Values (CSV) oder JavaScript Object Notation (JSON) exportieren.

• Ausführen: Mit dieser Schaltfläche können Sie die Abfrage, die derzeit im Feld Suchen angezeigt wird, ausführen.

• Zeitselektor: Geben Sie den Zeitraum mit dem Zeitselektor an.

• Visualisierungsbereich: Die Ergebnisse der Suchabfrage werden in diesem Bereich angezeigt. Die gefilterten Informationen in diesem Bereich werden geladen, wenn die Abfrage im Feld Suchen ausgeführt wird. Durch Klicken auf einen Bereich im Diagramm im Visualisierungsbereich können Sie einen Drilldown in die Suchabfrage durchführen und diese aktualisieren.

Zeichenfolgenabfragen können Schlüsselwörter und Wortgruppen enthalten. Ein Schlüsselwort ist ein einzelnes Wort (z.B. database), während eine Wortgruppe mehrere Wörter umfasst, die in einfachen Anführungszeichen (‘ ‘) oder doppelten Anführungszeichen (“ “) stehen (z.B. ‘database connection’). Wenn Sie in der Abfrage ein Schlüsselwort oder eine Wortgruppe angeben, werden alle Logeinträge mit dem angegebenen Schlüsselwort oder der angegebenen Wortgruppe zurückgegeben, nachdem die Abfrage ausgeführt wurde.

Die Oracle Log Analytics-Suchsprache unterstützt auch einen speziellen Musterabgleich. Sie können also Platzhalterzeichen wie Sternchen (*), Fragezeichen (?) und Prozentzeichen (%) für Schlüsselwörter verwenden.

In der folgenden Tabelle sind die unterstützten Platzhalterzeichen aufgeführt. Außerdem finden Sie eine kurze Beschreibung zu den einzelnen Zeichen.

Sie können mehrere Schlüsselwörter angeben. Beispiel: database und connection. Logs mit den Wörtern database und connection (aber nicht unbedingt beide zusammen) werden zurückgegeben. Diese Wörter müssen jedoch nicht notwendigerweise nacheinander vorkommen. Wenn Sie die Wörter jedoch in Anführungszeichen setzen und als Wortgruppe in die Abfragezeichenfolge aufnehmen (z.B. ‘database connection’), werden nur die Logs zurückgegeben, die die Wortgruppe ‘database connection’ enthalten. Informationen zur Verwendung mehrerer Schlüsselwörter finden Sie unter Boolesche Ausdrücke verwenden.

Beachten Sie Folgendes, wenn Sie ein Schlüsselwort oder eine Wortgruppe angeben:

• Bei Schlüsselwörtern und Wortgruppen wird nicht zwischen Groß- und Kleinschreibung unterschieden.

• Schlüsselwörter, die nicht in Anführungszeichen gesetzt sind, dürfen nur alphanumerische Zeichen, Unterstriche (_) und Platzhalterzeichen (*, % und ?) enthalten.

• Jede Schlüsselwortsuche, bei der die Teilzeichenfolge als separate Direktive interpretiert werden könnte, muss in Anführungszeichen gesetzt sein. Beispiel: Um nach der Zeichenfolge and zu suchen, müssen Sie diese in einfache Anführungszeichen (‘and’) setzen, um zu verhindern, dass das System die boolesche Bedeutung verwendet.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Vergleichsoperatoren sind Bedingungen, die Sie zum Aufbauen einer Beziehung zwischen einem Feld und seinem Wert angeben. Felder ohne Werte werden als Null betrachtet.

In der folgenden Tabelle sind die unterstützten Vergleichsoperatoren aufgeführt. Außerdem finden Sie eine kurze Beschreibung der einzelnen Operatoren.

Mit diesen Operatoren können Sie Logs mit Feldern mit bestimmten Werten suchen. Beispiel: Geben Sie Severity=’ERROR’ an, um die verfügbaren Logs zu durchsuchen, bei denen der Wert des Feldes Severity ERROR lautet. Ebenso gibt Severity!=NULL alle Logs zurück, bei denen der Wert des Feldes Severity nicht Null ist (d.h. bei denen ein Schweregrad angegeben wurde).

Das Oracle Log Analytics Search-Feature bietet die Funktionen LIKE und REGEX gemäß den Standardkonventionen. Boolesche Ausdrücke können den Wert true oder false aufweisen.

In der folgenden Tabelle sind die unterstützten booleschen Ausdrücke sowie eine kurze Beschreibung der einzelnen Ausdrücke aufgeführt.

Die Oracle Log Analytics Search-Sprache unterstützt die Verschachteln von booleschen Ausdrücken in anderen boolesche Ausdrücke. Beispielabfrage:

fatal ('order' OR host LIKE '*.oracle.com')

Wenn Sie diese Abfrage ausführen, werden alle Logs zurückgegeben, die fatal enthalten und entweder das Schlüsselwort order enthalten oder von einem Host stammen, dessen Name mit .oracle.com endet.

Sie können Suchabfragen mit der Benutzeroberfläche von Oracle Log Analytics formulieren.

Standardmäßig wird die Abfrage * | stats count by ‘log source’ im Feld Suchen angegeben.

In der Regel ist der Zeitbereich, den Sie im Log Explorer auswählen, nicht in der Abfragezeichenfolge enthalten. Sie können den Zeitraum in Ihrer Abfrage mit dem Modifikator absolute Zeit oder relative Zeit im Befehl search angeben.

Beispiele, in denen ein Zeitraum in der Abfrage angegeben werden kann:

• Alle in den letzten 24 Stunden erkannten ORA-600-Fehlerlogs zurückgeben:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Gibt die Anzahl der Logs für das Hostziel myHost in den letzten 90 Tagen zurück:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

Mit Unterabfragen kann die untergeordnete Abfrage einen dynamischen Filter für ihre übergeordneten Abfragen bereitstellen. Unterabfragen werden zuerst ausgewertet, und das Ergebnis wird dann in der übergeordneten Abfrage verwendet.

• Sie können Unterabfragen untereinander verschachteln und eine bestimmte Abfrage mit mehreren Unterabfragen auf derselben Ebene erstellen.
• Unterabfragen erben standardmäßig den globalen Zeitraum. Sie können diesen jedoch bei Bedarf mit der Syntax time between T1 and T2 überschreiben.
• Unterabfragen geben nur die ersten 2000 Übereinstimmungen als Eingabe an das übergeordnete Element zurück. Andere Ergebnisse werden abgeschnitten.
• Der maximale Timeout für die Ausführung beträgt 30 Sekunden.
• Alle von einer Unterabfrage zurückgegebenen Felder müssen dieselben Namen wie die Felder in der übergeordneten Abfrage aufweisen. Andernfalls wird ein Fehler ausgegeben.
• Unterabfragen können nur innerhalb eines Suchbefehls verwendet werden.
• Sie können in einer Unterabfrage alle Befehle außer cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight und highlightrows verwenden.

Beispiele:

• Traffic aus der IP-Sperrliste im Zeitablauf darstellen:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Die am häufigsten erworbenen Produkte für die Top-Benutzer einer E-Commerce-Site auflisten:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Top 4-BS-Prozess-IDs mit der höchsten Summe suchen:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Alle Logs aus dem Ziel mit den schwerwiegendsten Schweregraden anzeigen:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Sie können die folgenden Funktionen in Suchabfragen verwenden:

Weitere Beispiele für anyof() und allof():

• Stimmt mit Logs überein, die eines der folgenden Wörter enthalten: adm, logoff oder user:

  anyof(adm, logoff, user)

• Stimmt mit Logs überein, die alle folgenden Wörter enthalten: adm, logoff oder user:

  allof(adm, logoff, user)

• Stimmt mit Logs überein, die KEINEN der Wörter oracle oder active aufweisen und den Wert ungleich Null für das Feld Schweregrad aufweisen.

  severity != null not anyof(oracle, active)

• Stimmt mit Logs überein, die NICHT beide Wörter oracle oder active enthalten und einen Wert ungleich Null für das Feld Schweregrad aufweisen.

  severity != null not allof(oracle, active)

• Gibt die Schweregradwerte zurück, die entweder mit d beginnen oder mit f beginnen:

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Gibt die Schweregradwerte zurück, die mit f beginnen und not fatal lauten:

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Weitere Beispiele für allfields() amd anyfields():

• Gibt Logs zurück, bei denen alle Felder, die mit der Zeichenfolge tar beginnen (Beispiel: Ziel, Ziel-GUID, Zieltyp), nicht null sind:

  allfields(tar*) != null

• allfields ist die Standardfunktion, und die obige Abfrage kann wie folgt kurz geschrieben werden:

  'tar*' != null

• Gibt Logs zurück, bei denen eines der Felder, die mit tar beginnen, Null ist:

  
  anyFields(tar*) = null

• Gleicht Logs mit allen numerischen Feldern ab, die mit length enden (Beispiel: Paketlänge, Länge, UDP-Paketlänge), wobei der Wert 2 lautet:

  allFields(*length) = 2

• Gleicht Logs mit einem der numerischen Felder ab, die mit length mit dem Wert 2 enden:

  anyFields(*length) = 2