Mit Oracle Logging Analytics können Sie eine zuletzt verwendete Suche auswählen und ausführen. Wenn Sie auf das Feld "Suchen" klicken oder Text in das Feld "Suchen" eingeben, zeigt Oracle Logging Analytics eine Liste der zuletzt verwendeten Suchvorgänge in der Liste an. Auf diese Weise können Sie schnell auf die zuletzt verwendeten Suchbefehle zugreifen. Sie können einen der aufgeführten Befehle auswählen und auf Ausführen klicken, um den ausgewählten Suchbefehl auszuführen.

Sie können Suchabfragen mit der Benutzeroberfläche von Oracle Logging Analytics formulieren.

Mit den folgenden Elementen der UI können Sie Suchabfragen formulieren:

• Suchleiste: Hier wird die Suchabfrage angezeigt. Sie können den Text in diesem Feld direkt bearbeiten, um die Suchergebnisse weiter einzugrenzen.

  Die Suchleiste wird entsprechend der Anzahl der Zeilen, die der Abfrage hinzugefügt wurden, vergrößert oder verkleinert. Sie enthält maximal 21 Zeilen und mindestens 1 Zeile. Einige der verfügbaren benutzerdefinierten Shortcuts:

  • STRG + i: Jede Textzeile im Editor einrücken. Beachten Sie, dass mit der Option I in Großbuchstaben der Debugger geöffnet wird.
  • STRG + Eingabetaste: Im Editor angezeigte Abfrage ausführen
  • STRG + Leertaste: Liste der Autovervollständigungsoptionen basierend auf der Cursorposition anzeigen
  • STRG + Z: Letzte Bearbeitung rückgängig machen
  • STRG + Y: Letzte Bearbeitung wiederholen
  • STRG + D: Aktuelle Zeile löschen

  Hinweis: Verwenden Sie die SHIFT-Taste nur, wenn angegeben.

  Positionieren Sie den Cursor in den öffnenden oder schließenden Klammern, um das übereinstimmende Element hervorzuheben. Die Elemente ( ) und [ ] können hervorgehoben werden.

  Die Suchleiste unterstützt zwei verschiedene Themes: Farbe und Graustufen. Sie können die Themes dynamisch ändern, indem Sie die Option im Hilfe-Popup-Fenster ändern.

• Feld: Der Bereich Feld ist in die folgenden Abschnitte unterteilt:

  • Mit den Attributen unter Gepinnt können Sie Logdaten auf folgender Basis filtern:

    • Logquellen, wie Datenbanklogs, Oracle WebLogic Server-Logs usw.

    • Logentitys (die eigentlichen Logdateinamen).

    • Labels. Hierbei handelt es sich um Tags, die Logeinträgen hinzugefügt werden, wenn Logeinträge bestimmten definierten Bedingungen entsprechen.

    • Uploadnamen von bei Bedarf hochgeladenen Logdaten.

    Standardmäßig sind die Entitys und Collection-Details im Bucket "Gepinnt" des Bereichs Felder zum Filtern verfügbar. Sie können je nach Verwendung zusätzliche Felder im Bucket "Gepinnt" pinnen. Nach dem Pinnen werden die Felder in den Bucket "Gepinnt" verschoben. Sie können jedes gepinnte Feld trennen und aus dem Bucket "Gepinnt" entfernen und es wieder in den Bucket "Interessant" oder "Sonstige" verschieben.

  • Basierend auf Ihrer Suche und Ihren Abfragen fügt Oracle Log Analytics automatisch Felder zum Bucket Interessant zur Schnellreferenz hinzu. Sie können ein Feld pinnen, das im Bucket "Interessant" verfügbar ist. Das gepinnte Feld wird dann in den Bucket "Gepinnt" verschoben.

  • Sie können jedes Feld im Bucket Sonstige pinnen und in den Bucket "Gepinnt" verschieben. Wenn Sie ein Feld aus dem Bucket "Sonstige" in einer Suche oder Abfrage verwenden, wird es in den Bucket "Interessant" verschoben.

    Die ausgewählten Optionen werden der Abfrage in der Suchleiste automatisch hinzugefügt.

• Visualisieren: In diesem Bereich können Sie festlegen, wie die Suchergebnisse angezeigt werden sollen. Im Feld Gruppieren nach können Sie festlegen, nach welchen Metriken die Ergebnisse gruppiert werden sollen.

• Speichern: Mit dieser Schaltfläche speichern Sie die Suchabfrage, die sich derzeit im Feld Suchen befindet, für die Ausführung an einem späteren Zeitpunkt.

• Öffnen: Mit dieser Schaltfläche können Sie zuvor gespeicherte Suchabfragen anzeigen. Sie können diese Abfragen ausführen und aktuelle Ergebnisse abrufen oder mit diesen Abfragen Dashboards erstellen.

• Neu: Mit dieser Schaltfläche können Sie eine neue Suchabfrage starten.

• Exportieren: Mit dieser Schaltfläche können Sie das Ergebnis der aktuellen Suchabfrage in eine Datei im Format Comma-seperated Values (CSV) oder JavaScript Object Notation (JSON) exportieren.

• Ausführen: Mit dieser Schaltfläche können Sie die Abfrage, die derzeit im Feld Suchen angezeigt wird, ausführen.

• Zeitselektor: Geben Sie den Zeitraum mit dem Zeitselektor an.

• Visualisierungsbereich: Die Ergebnisse der Suchabfrage werden in diesem Bereich angezeigt. Die gefilterten Informationen in diesem Bereich werden geladen, wenn die Abfrage im Feld Suchen ausgeführt wird. Durch Klicken auf einen Bereich im Diagramm im Visualisierungsbereich können Sie einen Drilldown in die Suchabfrage durchführen und diese aktualisieren.

Zeichenfolgenabfragen können Schlüsselwörter und Wortgruppen enthalten. Ein Schlüsselwort ist ein einzelnes Wort (z.B. database), während eine Wortgruppe mehrere Wörter umfasst, die in einfachen Anführungszeichen (‘ ‘) oder doppelten Anführungszeichen (“ “) stehen (z.B. ‘database connection’). Wenn Sie in der Abfrage ein Schlüsselwort oder eine Wortgruppe angeben, werden alle Logeinträge mit dem angegebenen Schlüsselwort oder der angegebenen Wortgruppe zurückgegeben, nachdem die Abfrage ausgeführt wurde.

Die Oracle Logging Analytics-Suchsprache unterstützt auch eine spezielle Musterzuordnung. Sie können also Platzhalterzeichen wie Sternchen (*), Fragezeichen (?) und Prozentzeichen (%) für Schlüsselwörter verwenden.

In der folgenden Tabelle sind die unterstützten Platzhalterzeichen aufgeführt. Außerdem finden Sie eine kurze Beschreibung zu den einzelnen Zeichen.

Sie können mehrere Schlüsselwörter angeben. Beispiel: database und connection. Logs mit den Wörtern database und connection (aber nicht unbedingt beide zusammen) werden zurückgegeben. Diese Wörter müssen jedoch nicht notwendigerweise nacheinander vorkommen. Wenn Sie die Wörter jedoch in Anführungszeichen setzen und als Wortgruppe in die Abfragezeichenfolge aufnehmen (z.B. ‘database connection’), werden nur die Logs zurückgegeben, die die Wortgruppe ‘database connection’ enthalten. Informationen zur Verwendung mehrerer Schlüsselwörter finden Sie unter Boolesche Ausdrücke verwenden.

Beachten Sie Folgendes, wenn Sie ein Schlüsselwort oder eine Wortgruppe angeben:

• Bei Schlüsselwörtern und Wortgruppen wird nicht zwischen Groß- und Kleinschreibung unterschieden.

• Schlüsselwörter, die nicht in Anführungszeichen gesetzt sind, dürfen nur alphanumerische Zeichen, Unterstriche (_) und Platzhalterzeichen (*, % und ?) enthalten.

• Jede Schlüsselwortsuche, bei der die Teilzeichenfolge als separate Direktive interpretiert werden könnte, muss in Anführungszeichen gesetzt sein. Beispiel: Um nach der Zeichenfolge and zu suchen, müssen Sie diese in einfache Anführungszeichen (‘and’) setzen, um zu verhindern, dass das System die boolesche Bedeutung verwendet.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Vergleichsoperatoren sind Bedingungen, die Sie zum Aufbauen einer Beziehung zwischen einem Feld und seinem Wert angeben. Felder ohne Werte werden als Null betrachtet.

In der folgenden Tabelle sind die unterstützten Vergleichsoperatoren aufgeführt. Außerdem finden Sie eine kurze Beschreibung der einzelnen Operatoren.

Mit diesen Operatoren können Sie Logs mit Feldern mit bestimmten Werten suchen. Beispiel: Geben Sie Severity=’ERROR’ an, um die verfügbaren Logs zu durchsuchen, bei denen der Wert des Feldes Severity ERROR lautet. Ebenso gibt Severity!=NULL alle Logs zurück, bei denen der Wert des Feldes Severity nicht Null ist (d.h. bei denen ein Schweregrad angegeben wurde).

Das Feature "Oracle Logging Analytics-Suche" bietet die Funktionen LIKE und REGEX gemäß den Standardkonventionen. Boolesche Ausdrücke können den Wert true oder false aufweisen.

In der folgenden Tabelle sind die unterstützten booleschen Ausdrücke sowie eine kurze Beschreibung der einzelnen Ausdrücke aufgeführt.

Die Sprache für die Oracle Logging Analytics-Suche unterstützt das Verschachteln von Booleschen Ausdrücken in anderen Booleschen Ausdrücken. Beispielabfrage:

fatal ('order' OR host LIKE '*.oracle.com')

Wenn Sie diese Abfrage ausführen, werden alle Logs zurückgegeben, die fatal enthalten und entweder das Schlüsselwort order enthalten oder von einem Host stammen, dessen Name mit .oracle.com endet.

Sie können Suchabfragen mit der Benutzeroberfläche von Oracle Logging Analytics formulieren.

Standardmäßig wird die Abfrage * | stats count by ‘log source’ im Feld Suchen angegeben.

In der Regel ist der im Log Explorer ausgewählte Zeitraum nicht in der Abfragezeichenfolge enthalten. Sie können den Zeitraum in der Abfrage mit dem Modifikator absolute Zeit oder relative Zeit im Befehl search angeben.

Beispiele, in denen ein Zeitraum in der Abfrage angegeben werden kann:

• Geben Sie alle ORA-600-Fehlerlogs zurück, die in den letzten 24 Stunden ermittelt wurden:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Gibt die Anzahl der Logs für das Hostziel myHost in den letzten 90 Tagen zurück:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

Mit Unterabfragen kann die untergeordnete Abfrage einen dynamischen Filter für ihre übergeordneten Abfragen bereitstellen. Unterabfragen werden zuerst ausgewertet, und das Ergebnis wird dann in der übergeordneten Abfrage verwendet.

• Sie können Unterabfragen untereinander verschachteln und eine bestimmte Abfrage mit mehreren Unterabfragen auf derselben Ebene erstellen.
• Unterabfragen erben standardmäßig den globalen Zeitraum. Sie können diesen jedoch bei Bedarf mit der Syntax time between T1 and T2 überschreiben.
• Unterabfragen geben nur die ersten 2000 Übereinstimmungen als Eingabe an das übergeordnete Element zurück. Andere Ergebnisse werden abgeschnitten.
• Der maximale Timeout für die Ausführung beträgt 30 Sekunden.
• Alle von einer Unterabfrage zurückgegebenen Felder müssen dieselben Namen wie die Felder in der übergeordneten Abfrage aufweisen. Andernfalls wird ein Fehler ausgegeben.
• Unterabfragen können nur innerhalb eines Suchbefehls verwendet werden.
• Sie können in einer Unterabfrage alle Befehle außer cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight und highlightrows verwenden.

Beispiele:

• Traffic aus der IP-Sperrliste im Zeitablauf darstellen:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Die am häufigsten erworbenen Produkte für die Top-Benutzer einer E-Commerce-Site auflisten:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Top 4-BS-Prozess-IDs mit der höchsten Summe suchen:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Alle Logs aus dem Ziel mit den schwerwiegendsten Schweregraden anzeigen:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]