Link by Cluster

Vous pouvez combiner les fonctions Link et Cluster pour classer les regroupements pour un champ spécifique. Vous pouvez identifier les entités ou les types d'entités qui présentent le plus de problèmes potentiels et voir tous les modèles ou anomalies dans ces entités.

Les regroupements permettent d'analyser un grand nombre d'enregistrements de journal et d'identifier des problèmes potentiels. Avec la fonction Link by Cluster, vous pouvez associer les enregistrements de journal en regroupements et identifier les problèmes potentiels en fonction de la sélection du champ à analyser. Par exemple, si vous voulez associer vos regroupements en fonction de l'entité, du type d'entité ou de la source de journaux, vous pouvez utiliser la fonction Link by Cluster.

Dans l'exemple suivant, les enregistrements de journal du type d'entité Host (Linux) sont analysés avec les fonctions Link et Cluster en incluant * | link 'Entity Type', cluster() dans l'interrogation. L'interrogation complète utilisée pour l'analyse est la suivante :

* | link 'Entity Type', cluster() | where 'Potential Issue' != null | fields -'Potential Issue' | where Count = 45 and 'Entity Type' = literal("Host(Linux)"))

Tout d'abord, la commande cluster est exécutée sur la chaîne de recherche, en l'occurrence *, qui produit un champ appelé Cluster Sample (Exemple de regroupement). Ce champ est lié au type d'entité pour associer tous les regroupements par type d'entité. La clause where indique de ne rechercher que les problèmes potentiels. Nous avons donc tous les problèmes potentiels regroupés par type d'entité. Comme vous pouvez le voir dans le graphique à bulles, il y a environ 45 problèmes potentiels du type d'entité Host (Linux).

La table des groupes affiche les détails de l'exemple de regroupement correspondant au groupe d'anomalies. Notez le contenu du journal de l'exemple de regroupement disponible dans la table, qui peut être à l'origine du problème potentiel : detected unhandled Python exception.

Cliquez sur le lien Analyser les problèmes potentiels par type d'entité pour que l'exemple de commande soit utilisé dans votre environnement. Cliquez sur Plus pour obtenir d'autres exemples de commandes que vous pouvez utiliser :

• Problèmes potentiels par entité
• Valeurs aberrantes des problèmes potentiels par entité
• Valeurs aberrantes des problèmes potentiels par type d'entité
• Problèmes potentiels par entité, gravité

Dans l'exemple Valeurs aberrantes des problèmes potentiels, l'interrogation est similaire à l'exemple présenté, mais une autre clause where est ajoutée (where 'Potential Issue' != null and count = 1) pour identifier toutes les erreurs qui sont survenues une seule fois au cours de la période. Toutefois, notez que les exemples de regroupement affichent toujours les variables, mais que les variables indiquées dans Link ne peuvent pas être forées.

Pour plus d'informations sur la visualisation Link et sur les étapes permettant d'accéder à Link à partir du panneau Visualiser, voir Visualisation Link.