Recherche d'interrogation

Oracle Log Analytics vous permet de sélectionner et d'exécuter une recherche récemment utilisée. Lorsque vous cliquez sur le champ Rechercher ou que vous entrez du texte dans le champ Rechercher, Oracle Log Analytics affiche la liste des recherches récemment utilisées. Vous pouvez ainsi accéder rapidement aux commandes de recherche récemment utilisées. Vous pouvez sélectionner l'une des commandes répertoriées et cliquer sur Exécuter pour exécuter la commande de recherche sélectionnée.

L'interface utilisateur Oracle Log Analytics vous permet de formuler votre interrogation de recherche.

Vous pouvez utiliser les éléments suivants de l'interface utilisateur pour formuler votre interrogation de recherche :

• Barre de recherche : Votre interrogation de recherche s'affiche ici. Vous pouvez modifier directement le texte de ce champ pour préciser davantage vos résultats de recherche.

  La barre de recherche augmente ou diminue en fonction du nombre de lignes ajoutées à l'interrogation. Elle peut comporter un maximum de 21 lignes et un minimum de 1 ligne. Certains raccourcis personnalisés sont disponibles :

  • Ctrl + i : Indenter toutes les lignes de texte présentes dans l'éditeur. Notez que la majuscule I ouvre le débogueur.
  • Ctrl + Enter : Exécuter l'interrogation affichée dans l'éditeur
  • Ctrl + Space : Afficher la liste des options avec remplissage automatique en fonction de la position du curseur
  • Ctrl + Z : Annuler la dernière modification
  • Ctrl + Y : Rétablir la dernière modification
  • Ctrl + D : Supprimer la ligne courante

  Note : Ne pas utiliser la touche SHIFT sauf indication contraire.

  Positionnez le curseur dans les crochets ouvrants ou fermants pour afficher l'élément correspondant mis en surbrillance. Les éléments qui peuvent être mis en surbrillance sont ( ) et [ ].

  La barre de recherche prend en charge deux thèmes différents, la couleur et l'échelle de gris. Vous pouvez modifier dynamiquement les thèmes en changeant l'option dans la fenêtre contextuelle d'aide.

• Champ : Le panneau Champ comprend les sections suivantes :

  • Les attributs Épinglé vous permettent de filtrer les données des journaux en fonction des éléments suivants :

    • Sources de journaux, telles que les journaux de base de données, les journaux Oracle WebLogic Server, etc.

    • Entités de journal, qui sont les noms réels des fichiers journaux.

    • Étiquettes, qui sont des marqueurs ajoutés aux entrées de journal lorsque les entrées de journal correspondent à des conditions définies spécifiques.

    • Noms de chargement des données de journal chargées sur demande.

    Par défaut, les entités et les détails de la collecte sont disponibles dans le seau Épinglé du panneau Champs pour le filtrage. Vous pouvez épingler des champs supplémentaires dans le seau Épinglé en fonction de votre utilisation. Une fois épinglés, les champs sont déplacés vers le seau Épinglé. Vous pouvez désépingler n'importe quel champ pour le retirer du seau Épinglé et le replacer dans le seau Intéressant ou Autre.

  • En fonction de vos recherches et de vos interrogations, Oracle Log Analytics ajoute automatiquement des champs au seau Intéressant pour vous offrir une référence rapide. Vous pouvez épingler un champ disponible sous le seau Intéressant. Le champ épinglé est alors déplacé vers le seau Épinglé.

  • Vous pouvez épingler n'importe quel champ du seau Autre et le déplacer vers le seau Épinglé. Si vous utilisez un champ du seau Autre dans votre recherche ou votre interrogation, il est déplacé vers le seau Intéressant.

    Les options sélectionnées sont automatiquement ajoutées à l'interrogation dans la barre de recherche.

• Visualiser : Dans ce volet, vous pouvez sélectionner la façon dont vous préférez afficher les résultats de recherche. Dans le champ Regrouper par, vous pouvez choisir les mesures selon lesquelles regrouper les résultats.

• Enregistrer : Utilisez ce bouton pour enregistrer l'interrogation de recherche actuellement dans le champ Rechercher, à exécuter ultérieurement.

• Ouvrir : Utilisez ce bouton pour voir les interrogations de recherche enregistrées précédemment. Vous pouvez exécuter ces interrogations et obtenir les résultats courants, ou vous pouvez les utiliser pour créer des tableaux de bord.

• Nouveau : Utilisez ce bouton pour lancer une nouvelle interrogation de recherche.

• Exporter : Utilisez ce bouton pour exporter le résultat de l'interrogation de recherche courante dans un fichier au format Comma-separated Values(CSV) ou JavaScript Object Notation(JSON).

• Exécuter : Utilisez ce bouton pour exécuter l'interrogation qui se trouve actuellement dans le champ Rechercher.

• Sélecteur de temps : Utilisez le sélecteur de temps pour spécifier la période.

• Volet de visualisation : Les résultats de l'interrogation de recherche s'affichent dans ce volet. Les informations filtrées de ce volet se chargent lorsque l'interrogation du champ Rechercher est exécutée. En cliquant sur une zone du graphique dans le volet de visualisation, vous pouvez forer l'interrogation de recherche et la mettre à jour.

Les interrogations de chaîne peuvent inclure des mots clés et des expressions. Un mot clé représente un seul mot (par exemple, database), tandis qu'une phrase référence plusieurs mots, entre guillemets simples (‘ ‘) ou doubles (“ “) (par exemple, ‘database connection’). Si vous spécifiez un mot clé ou une expression dans votre interrogation, toutes les entrées de journal contenant le mot clé ou l'expression spécifié sont retournées après l'exécution de l'interrogation.

Le langage de recherche Oracle Log Analytics prend également en charge le mappage de modèles spéciaux. En d'autres termes, vous pouvez utiliser des caractères génériques, tels que l'astérisque (*), le point d'interrogation (?) et le pourcentage (%), pour compléter les mots clés.

Le tableau suivant répertorie les caractères génériques pris en charge et fournit une brève description de chacun.

Vous pouvez spécifier plusieurs mots clés. Par exemple, database et connection. Les journaux contenant les mots database et connection (mais pas nécessairement ensemble) sont retournés. Cependant, les occurrences de ces mots ne doivent pas nécessairement être consécutives. Toutefois, en insérant les mots entre guillemets et en les incluant dans la chaîne d'interrogation sous forme d'expression (‘database connection’, par exemple), seuls les journaux contenant l'expression ‘database connection’ sont retournés. Pour voir comment utiliser plusieurs mots clés, voir Utiliser des expressions booléennes.

Lorsque vous spécifiez un mot clé ou une expression, tenez compte de ce qui suit :

• Les mots clés et les chaînes d'expression ne sont pas sensibles à la casse.

• Les mots clés qui ne sont pas entre guillemets doivent contenir uniquement des caractères alphanumériques, des traits de soulignement (_) et des caractères génériques (*, % et ?).

• Les recherches par mots clés dans lesquelles la sous-chaîne peut être interprétée comme une directive distincte doivent être spécifiques entre guillemets. Par exemple, pour rechercher la chaîne and, vous devez l'entrer entre guillemets simples (‘and’) afin d'empêcher le système d'utiliser sa signification booléenne.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Les opérateurs de comparaison sont des conditions que vous indiquez pour établir une relation entre un champ et sa valeur. Les champs sans valeur sont considérés comme nuls.

Le tableau suivant répertorie les opérateurs de comparaison pris en charge et fournit une brève description de chacun.

Utilisez ces opérateurs pour rechercher des journaux avec des champs ayant des valeurs spécifiques. Par exemple, spécifiez Severity=’ERROR’ pour rechercher dans les journaux disponibles ceux où la valeur du champ Severity est ERROR. De même, Severity!=NULL retourne tous les journaux où la valeur du champ Severity n'est pas nulle (en d'autres termes, où la gravité a été spécifiée).

La fonction Oracle Log Analytics Search a les capacités LIKE et REGEX, conformément aux conventions standard. Les expressions booléennes peuvent avoir une valeur true ou false.

Le tableau suivant répertorie les expressions booléennes prises en charge, ainsi qu'une brève description de chacune.

Le langage Oracle Log Analytics Search prend en charge l'imbrication d'expressions Boolean dans d'autres expressions Boolean. Prenons par exemple l'interrogation suivante :

fatal ('order' OR host LIKE '*.oracle.com')

L'exécution de cette interrogation retourne tous les journaux qui contiennent fatal et qui contiennent le mot clé order ou proviennent d'un hôte dont le nom se termine par .oracle.com.

Vous pouvez utiliser l'interface utilisateur Oracle Log Analytics pour formuler votre interrogation de recherche.

Par défaut, l'interrogation * | stats count by ‘log source’ est indiquée dans le champ Rechercher.

En général, l'intervalle de temps que vous sélectionnez dans l'explorateur de journaux n'est pas inclus dans la chaîne d'interrogation. Vous pouvez spécifier l'intervalle de temps dans votre interrogation à l'aide du modificateur Temps absolu ou Temps relatif de la commande search.

Exemples dans lesquels un intervalle de temps peut être spécifié dans l'interrogation :

• Retourne tous les journaux d'erreurs ORA-600 détectés au cours des dernières 24 heures :

  Message like 'ORA-600%' and time > dateRelative(24h)

• Retourne le nombre de journaux pour la cible d'hôte myHost au cours des 90 derniers jours :

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

Les sous-interrogations permettent à l'interrogation enfant de fournir un filtre dynamique à ses interrogations parents. Les sous-interrogations sont évaluées en premier et le résultat est ensuite utilisé dans l'interrogation parent.

• Vous pouvez imbriquer des sous-interrogations les unes dans les autres, ainsi qu'une interrogation particulière comportant plusieurs sous-interrogations au même niveau.
• Par défaut, les sous-interrogations héritent de l'intervalle de temps global, mais vous pouvez le remplacer à l'aide de la syntaxe time between T1 and T2, si nécessaire.
• Les sous-interrogations sont limitées pour retourner uniquement les 2 000 premières correspondances en entrée de leur parent. Les autres résultats sont tronqués.
• La temporisation maximale est de 30 secondes.
• Tous les champs retournés par une sous-interrogation doivent correspondre aux champs de l'interrogation parent par leur nom. Sinon, une erreur sera générée.
• Vous ne pouvez utiliser des sous-interrogations que dans une commande de recherche.
• Vous pouvez utiliser toutes les commandes d'une sous-interrogation, sauf cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight et highlightrows.

Exemples :

• Planifier le trafic depuis la liste noire d'adresses IP au fil du temps :

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Lister les produits les plus achetés pour les utilisateurs principaux d'un site de commerce électronique :

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Rechercher les 4 principaux ID de processus du système d'exploitation avec la somme la plus élevée :

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Afficher tous les journaux de la cible avec les journaux ayant la gravité la plus fatale :

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Vous pouvez utiliser les fonctions suivantes dans vos interrogations de recherche :

Exemples supplémentaires pour anyof() et allof() :

• Correspond aux journaux contenant l'un des mots suivants : adm, logoff ou user :

  anyof(adm, logoff, user)

• Correspond aux journaux contenant tous les mots suivants : adm, logoff ou user :

  allof(adm, logoff, user)

• Correspond aux journaux qui n'ont PAS les mots oracle ou active et dont la valeur n'est pas nulle pour le champ severity.

  severity != null not anyof(oracle, active)

• Met en correspondance les journaux qui n'ont PAS les deux mots oracle ou active et qui ont une valeur non nulle pour le champ gravité.

  severity != null not allof(oracle, active)

• Retourne les valeurs de gravité qui commencent par d ou qui commencent par f :

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Retourne les valeurs de gravité qui commencent par f et qui sont not fatal :

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Exemples supplémentaires pour allfields() amd anyfields() :

• Retourne les journaux où tous les champs commençant par la chaîne tar (par exemple : Cible, GUID cible, Type de cible) ne sont pas nuls :

  allfields(tar*) != null

• allfields est la fonction par défaut et l'interrogation ci-dessus peut être écrite en bref comme suit :

  'tar*' != null

• Retourne les journaux où l'un des champs commençant par tar est nul :

  
  anyFields(tar*) = null

• Correspond aux journaux avec tous les champs numériques se terminant par length (par exemple : Longueur de paquet, Longueur, Longueur de paquet UDP) ayant la valeur 2 :

  allFields(*length) = 2

• Met en correspondance les journaux avec l'un des champs numériques se terminant par length ayant une valeur 2 :

  anyFields(*length) = 2