Búsqueda de consulta

Oracle Log Analytics permite seleccionar y ejecutar una búsqueda utilizada recientemente. Al hacer clic del campo Buscar o introducir texto en el campo de Buscar, Oracle Log Analytics muestra una lista de búsquedas utilizadas recientemente. Esto le permite acceder rápidamente a los comandos de búsqueda utilizados recientemente. Puede seleccionar cualquiera de los comandos mostrados y hacer clic en Ejecutar para ejecutar el comando de búsqueda seleccionado.

La interfaz Oracle Log Analytics le permite formular la consulta de búsqueda.

Puede utilizar los siguientes elementos de la interfaz de usuario para formular la consulta de búsqueda:

• Barra de búsqueda: la consulta de búsqueda se muestra aquí. Puede editar directamente el texto en este campo para acotar aún más los resultados de búsqueda.

  La barra de búsqueda aumenta o se reduce según el número de líneas agregadas a la consulta. Puede tener un máximo de 21 líneas y un mínimo de 1 línea. Algunos de los accesos directos personalizados disponibles son:

  • Ctrl + i: sangrar cada línea del texto presente en el editor. Tenga en cuenta que con laI mayúscula se abre el depurador.
  • Ctrl + Enter: ejecutar la consulta que se muestra en el editor
  • Con Ctrl + Space: se muestra la lista de opciones de terminar automáticamente según la posición del cursor
  • Ctrl + Z: deshace la última edición
  • Ctrl + Y: rehace la última edición
  • Ctrl + D: suprime la línea actual

  Nota: No utilice la tecla SHIFT a menos que se especifique.

  Coloque el cursor entre los paréntesis de apertura o cierre para ver el elemento coincidente resaltado. Los elementos que se pueden resaltar son ( ) y [ ].

  La barra de búsqueda soporta dos temas diferentes, de color y de escala de grises. Puede cambiar los temas dinámicamente cambiando la opción en la ventana emergente de ayuda.

• Campo: el panel Campo está dividido en las siguientes secciones:

  • Los atributos de Anclado permiten filtrar los datos de log en función de los siguientes elementos:

    • Orígenes de log, como logs de base de datos, logs de Oracle WebLogic Server, etc.

    • Entidades de log, que son los nombres de archivos log reales.

    • Etiquetas, que son etiquetas agregadas a entradas de log cuando las entradas de log coinciden con condiciones definidas específicas.

    • Nombres de carga de los datos de log cargados bajo demanda.

    Por defecto, las entidades y los detalles de recopilación están disponibles en el cubo Anclado del panel Campos para filtrar. Puede anclar campos adicionales al cubo Anclado según su uso. Una vez anclados, los campos se mueven al cubo Anclado. Puede desanclar cualquier campo y eliminarlo del cubo Anclado y moverlo de nuevo al cubo Interesante u Otro.

  • En función de la búsqueda y las consultas, Oracle Log Analytics agrega automáticamente campos al cubo Interesante para su consulta rápida. Puede anclar un campo que esté disponible en el cubo Interesante. A continuación, el campo anclado se mueve al cubo Anclado.

  • Puede anclar cualquier campo del cubo Otros y moverlo al cubo Anclado. Si utiliza un campo del cubo Otros en la búsqueda o consulta, se mueve al cubo Interesante.

    Las opciones seleccionadas se agregan automáticamente a la consulta en la barra Buscar.

• Visualizar: en este panel, puede seleccionar cómo preferiría ver los resultados de la búsqueda. En el campo Agrupar por, puede decidir las métricas por las que agrupar los resultados.

• Guardar: utilice este botón para guardar la consulta de búsqueda que está actualmente en el campo Buscar, que se ejecutará posteriormente.

• Abrir: utilice este botón para ver las consultas de búsqueda guardadas anteriormente. Puede ejecutar estas consultas y obtener resultados actuales, o bien puede utilizarlas para crear paneles de control.

• Nuevo: utilice este botón para iniciar una nueva consulta de búsqueda.

• Exportar: utilice este botón para exportar el resultado de la consulta de búsqueda actual en un archivo con el formato Comma-separated Values(CSV) o JavaScript Object Notation(JSON).

• Ejecutar: utilice este botón para ejecutar la consulta que está actualmente en el campo Buscar.

• Selector de tiempo: utilice el selector de tiempo para especificar el período de tiempo.

• Panel de visualización: los resultados de la consulta de búsqueda se muestran en este panel. La información filtrada de este panel se carga cuando se ejecuta la consulta en el campo Buscar. Al hacer clic en cualquier área del gráfico en el panel de visualización, puede aumentar el detalle de la consulta de búsqueda y actualizarla.

Las consultas de cadena pueden incluir palabras clave y frases. Una palabra clave es una sola palabra (por ejemplo, database), mientras que una frase hace referencia a varias palabras, entre comillas simples (‘ ‘) o dobles (“ “) (por ejemplo, ‘database connection’). Si especifica una palabra clave o una frase en la consulta, todas las entradas de log que contengan la palabra clave o frase especificada se devuelven después de ejecutar la consulta.

El idioma de búsqueda de Oracle Log Analytics también soporta la asignación de patrones especiales. En otras palabras, puede utilizar caracteres comodín, como el asterisco (*), el signo de interrogación (?) y el porcentaje (%), para completar palabras clave.

En la siguiente tabla se muestran los caracteres comodín soportados y se proporciona una breve descripción de cada uno de ellos.

Puede especificar varias palabras clave. Por ejemplo, database y connection. Se devuelven los logs que contengan las palabras database y connection (pero no necesariamente juntos). Sin embargo, estas palabras no tienen que aparecer necesariamente de forma consecutiva. Sin embargo, al incluir las palabras entre comillas e incluirlas en la cadena de consulta como frase (‘database connection’, por ejemplo), solo se devuelven los logs que contengan la frase ‘database connection’. Para ver cómo utilizar varias palabras clave, consulte Usar expresiones booleanas.

Al especificar una palabra clave o frase, recuerde lo siguiente:

• Las palabras clave y las cadenas de frases no distinguen entre mayúsculas y minúsculas.

• Las palabras clave que no están entre comillas deben contener solo caracteres alfanuméricos, de subrayado (_) y caracteres comodín (*, % y ?).

• Las búsquedas por palabra clave en las que la subcadena se podría interpretar como una directiva separada deben ser específicas entre comillas. Por ejemplo, para buscar la cadena and, tendrá que introducirla entre comillas simples (‘and’) para evitar que el sistema seleccione su significado booleano.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Los operadores de comparación son condiciones que se especifican para establecer una relación entre un campo y su valor. Los campos sin valores se consideran nulos.

En la siguiente tabla se muestran los operadores de comparación soportados y se proporciona una breve descripción de cada uno de ellos.

Utilice estos operadores para buscar logs con campos con valores específicos. Por ejemplo, especifique Severity=’ERROR’ para buscar en los logs disponibles donde el valor del campo Severity sea ERROR. Del mismo modo, Severity!=NULL devuelve todos los logs en los que el valor del campo Severity no sea nulo (es decir, donde se haya especificado la gravedad).

La función de Oracle Log Analytics Search tiene las capacidades de LIKE y REGEX, según la convenciones estándar. Las expresiones booleanas pueden tener un valor true o false.

En la siguiente tabla se muestran las expresiones booleanas soportadas, junto con una breve descripción de cada una de ellas.

El lenguaje Oracle Log Analytics Search soporta expresiones booleanas anidadas dentro de otras expresiones booleanas. Por ejemplo, tenga en cuenta la siguiente consulta:

fatal ('order' OR host LIKE '*.oracle.com')

Al ejecutar esta consulta, se devuelven todos los logs que contengan fatal y que contengan la palabra clave order o que se hayan originado en un host cuyo nombre termina en .oracle.com.

Puede utilizar la interfaz para formular la consulta de búsqueda de Oracle Log Analytics.

Por defecto, la consulta * | stats count by ‘log source’ se especifica en el campo Buscar.

Normalmente, el rango temporal que seleccione en el explorador de logs no se incluye en la cadena de consulta. Puede especificar el rango temporal en la consulta mediante el modificador tiempo absoluto o tiempo relativo en el comando search.

Algunos ejemplos en los que se puede especificar un rango temporal en la consulta:

• Devolver todos los logs de errores ORA-600 detectados en las últimas 24 horas:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Devuelve el recuento de logs para el destino de host myHost en los últimos 90 días:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

Las subconsultas permiten que la consulta secundaria proporcione un filtro dinámico a sus consultas principales. Las subconsultas se evalúan en primer lugar y el resultado se utiliza en la consulta principal.

• Puede anidar subconsultas entre sí, así como una consulta particular que tenga varias subconsultas en el mismo nivel.
• Por defecto, las subconsultas heredan el rango de tiempo global, pero puede sustituirlo mediante la sintaxis time between T1 and T2, si es necesario.
• Las subconsultas están restringidas para devolver solo las primeras 2.000 coincidencias como entrada a su principal. Los demás resultados se truncan.
• Tienen un timeout máximo de 30 segundos para terminar.
• Todos los campos devueltos por una subconsulta deben coincidir con los campos de la consulta principal por nombre. De lo contrario, se producirá un error.
• Solo puede utilizar subconsultas dentro de un comando de búsqueda.
• Puede utilizar todos los comandos dentro de una subconsulta, excepto cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight y highlightrows.

Ejemplos:

• Crear un gráfico del tráfico a partir de la lista negra de IP con el tiempo:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Enumerar los productos más comprados para los principales usuarios de un sitio de comercio electrónico:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Buscar los 4 principales ID de procesos del sistema operativo con la suma más alta:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Mostrar todos los logs del destino con los logs de gravedad más fatales:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Puede utilizar las siguientes funciones en las consultas de búsqueda:

Más ejemplos para anyof() y allof():

• Coincide con los logs que tienen cualquiera de estas palabras: adm, logoff o user:

  anyof(adm, logoff, user)

• Coincide con los logs que tienen todas estas palabras: adm, logoff o user:

  allof(adm, logoff, user)

• Coincide con los logs que NO tienen ninguna de las palabras oracle o active y tienen el valor no nulo para el campo gravedad.

  severity != null not anyof(oracle, active)

• Coincide con los logs que NO tienen las dos palabras oracle o active y tienen un valor no nulo para el campo gravedad.

  severity != null not allof(oracle, active)

• Devuelve los valores de gravedad que comienzan con d o comienzan con f:

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Devuelve los valores de gravedad que empiezan por f y son not fatal:

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Más ejemplos para allfields() y anyfields():

• Devuelve logs en los que todos los campos que comienzan con la cadena tar (por ejemplo: Destino, Guid de destino, Tipo de destino) no son nulos:

  allfields(tar*) != null

• allfields es la función por defecto y la consulta anterior se puede escribir de la siguiente forma:

  'tar*' != null

• Devuelve logs en los que cualquiera de los campos que empiezan por tar son nulos:

  
  anyFields(tar*) = null

• Coincide con los logs con todos los campos numéricos que terminan con length (por ejemplo: longitud de paquete, longitud, longitud de paquete UDP) con el valor 2:

  allFields(*length) = 2

• Coincide con los logs con cualquiera de los campos numéricos que terminan con length con un valor 2:

  anyFields(*length) = 2