Graphique chronologique

Activer les filtres

La boîte de dialogue Filter Options affiche la liste des champs utilisés dans le graphique temporel. Cochez la case Afficher les filtres de recherche. Vous pouvez sélectionner un ou plusieurs champs à afficher dans le panneau Filtre. Prenons par exemple la recherche suivante :

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

La boîte de dialogue Options de filtre affiche désormais les champs suivants générés par la commande timestats et les champs utilisés dans la clause par : Type d'entité, Nombre de journaux, Taille du journal.

Dans le panneau Champs, vous pouvez sélectionner un ou plusieurs filtres pour afficher uniquement les points de données spécifiques. Vous pouvez réinitialiser le filtre en désactivant l'option Sélectionner tout.

Une fois le filtre activé pour un champ spécifique, pour voir la liste complète des valeurs d'un champ chaîne, cliquez sur l'icône Paramètres à côté du nom du champ.

Personnaliser les filtres

Accédez à la boîte de dialogue Personnaliser les filtres à partir du menu Paramètres à côté du titre de votre graphique de série chronologique.

Pour les champs numériques, vous pouvez également personnaliser le filtre en cliquant sur l'icône Paramètres à côté du nom du champ numérique. La boîte de dialogue Personnaliser le filtre s'ouvre. Les options Méthode de calcul de l'intervalle suivantes sont disponibles :

• Valeur par défaut : Par défaut, l'intervalle est fixé à un cinquième de la valeur maximale, puis arrondi à 2s, 3s, 4s, 5s ou 10s. Par exemple, si la valeur maximale est 48, alors l'intervalle serait 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarithmic : Pour utiliser des intervalles logarithmiques tels que 1 - 10, 10 - 100 et 1000 - 10000, remplacez la méthode de calcul de l'intervalle par Logarithmic.

• Personnalisé : Certains jeux de données nécessitent des intervalles de variables. Par exemple, considérez l'exigence d'une moyenne d'UC d'intervalle comme 0 - 30 % pour une sous-utilisation, 30 - 80 % comme une utilisation efficace, 80 - 95 % comme un avertissement, et tout dépassement de 95 % est une fin extrême. Pour configurer des intervalles de variables pour cela, vous pouvez fournir des valeurs séparées par des virgules 30,80,95. Cela crée les seaux 0 à 30, 30 à 80, 80 à 95, 95+.

Vous pouvez éventuellement activer la case à cocher Valeurs de seau <= 0 séparément pour créer un seau distinct pour les valeurs de champ inférieures ou égales à zéro.

Rechercher dans le filtre

Accédez à la boîte de dialogue Personnaliser les filtres à partir du menu Paramètres à côté du titre de votre graphique de série chronologique.

Pour les champs chaîne, vous pouvez entrer une clé dans le texte à rechercher. Vous pouvez également fournir des expressions rationnelles pour la recherche. Par exemple, la recherche de e$ affichera toutes les valeurs de champ se terminant par la lettre e.

Cochez l'option Inverser pour afficher uniquement les valeurs qui ne correspondent pas aux critères.

Présentation de la syntaxe Link timestats

Dans le cas d'utilisation de série chronologique détaillé Analyse de série chronologique à l'aide de la commande timestats, l'interrogation suivante est utilisée :

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Les parties de la commande timestats dans l'exemple ci-dessus se présentent comme suit :

Les paramètres suivants peuvent être utilisés dans la syntaxe de commande :

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Utilisation des champs dans les statistiques temporelles Link

Il existe deux types de champs qui peuvent être utilisés pour une fonction timestats :

• Champ Propriété : Tout champ utilisé dans la commande link ou créé à l'aide des commandes stats, eventstats, eval, lookup, nlp ou delta après link.

• Champ d'enregistrement de journal : Champ défini dans la source de journaux et existant dans l'enregistrement de journal. Vous pouvez directement vous référer à ces champs à partir d'une fonction timestats.

Seuls les champs de propriété sont autorisés dans une clause partielle. Les champs volumineux tels que Message, Contenu initial, Pile d'erreurs ne sont pas autorisés dans une fonction ou dans une clause partielle.

Graphique d'un sous-ensemble de journaux : Utilisez la commande addfields pour générer des graphiques pour un sous-ensemble de données spécifique. Les champs utilisés dans addfields doivent être un champ de propriété. L'exemple suivant illustre l'utilisation de addfields :

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Spécification du nombre de graphiques à retourner : Utilisez les paramètres topcount ou bottomcount pour spécifier le nombre de graphiques à retourner à l'interface utilisateur.

• topcount : Lors du regroupement par champs, retourner N nombres de groupes distincts avec les valeurs agrégées les plus élevées.
• bottomcount : Lors du regroupement par champs, retourner N nombres de groupes distincts avec les plus petites valeurs agrégées.

Par exemple :

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Les graphiques suivants sont générés suite à l'exécution de l'interrogation ci-dessus :

Limites pour les séries chronologiques

• Nombre de champs dans la clause par : Seuls quatre champs au maximum sont autorisés dans la clause By.

• Champs autorisés : Évitez d'utiliser des champs volumineux dans la fonction et dans la clause By. Les champs Message, Détails supplémentaires, Pile d'erreurs et Contenu du journal initial sont des exemples de champs volumineux.

• Valeurs nulles : Timestats aligne les valeurs de la table de liens à l'aide des valeurs de la colonne Heure de début. Par exemple, un champ Durée peut avoir des valeurs uniquement pour 10:06 AM, 10:10 AM et 1:12pm. Dans le cadre de l'alignement, une commande timestats avg(Duration) ferait passer en moyenne les valeurs 10:06 AM et 10:10 AM en une seule moyenne pour 10:00am. Comme il n'y a pas de valeurs pour 11h et 12h, elles sont remplies de zéros. La valeur 1:12pm est placée à l'intervalle 1 PM.

  L'intervalle d'alignement réel dépend de l'intervalle utilisé pour l'interrogation. Un intervalle peut être explicitement spécifié à l'aide du paramètre span.

• Nombre de valeurs de série chronologique : Seule la commande 100 séries par horodatage est retournée. Voici quelques exemples illustrant cette limite :

  • La commande timestats sum(Count) as Records by 'Log Source' retourne uniquement les 100 principales sources de journaux. Les 100 premiers sont identifiés en triant d'abord les valeurs de chaque série chronologique Log Source, puis en triant ces séries chronologiques. Autrement dit, si les enregistrements d'une source de journaux contiennent tous les zéros et un seul grand pic, cela est inclus dans les résultats retournés.
  • La commande timestats sum(Count) as Records by 'Log Source', Label retourne les 100 combinaisons unique principales de la source de journaux et de l'étiquette.

  Si des résultats partiels sont retournés, une icône d'informations à côté de la série chronologique indique le nombre total de séries générées.

  Voici quelques-unes des options permettant de gérer un grand nombre de valeurs de série chronologique :

  • Utilisez la commande addfields pour filtrer les valeurs spécifiques à utiliser dans les horodatages.
  • Utilisez topcount ou bottomcount pour retourner les 100 premiers ou les 100 derniers graphiques.
  • Utilisez la commande timecluster pour mettre en grappe la série chronologique. Cela réduit le nombre de graphiques, car seuls les échantillons représentatifs sont retournés.

Options de configuration pour les graphiques de série chronologique

Comme pour les histogrammes, les options suivantes sont disponibles pour que vous puissiez les explorer à l'aide des graphiques. Cliquez sur l'icône Options de graphique :

• Masquer/afficher les graphiques : Vous pouvez masquer ou afficher un graphique.

• Sélection du type de graphique : Vous pouvez sélectionner différents types de graphique.

• Ajustement de la hauteur et de la largeur du graphique : Vous pouvez augmenter la hauteur du graphique à l'aide de l'option Hauteur. Faites glisser le contrôle Largeur pour augmenter ou diminuer la largeur des graphiques. S'il existe plusieurs fonctions, la réduction de la largeur entraînerait l'affichage d'un plus grand nombre de graphiques dans la même rangée. À pleine largeur, tous les graphiques sont affichés dans des rangées individuelles. La réduction de la largeur entraîne la disposition des graphiques dans l'ordre des colonnes multiples.

• Corrélation entre les graphiques : Vous pouvez utiliser l'option de graphique Afficher les infobulles corrélées pour afficher les infobulles corrélées entre les graphiques.

En outre, vous pouvez utiliser les options suivantes pour configurer vos graphiques :

• Contrôle des légendes : Vous pouvez activer ou désactiver les légendes à l'aide de l'option Afficher la légende dans les options de graphique.

• Filtres de graphique : Vous pouvez utiliser ces filtres pour analyser de manière interactive la série chronologique. Activez les filtres en cliquant sur Options de graphique, Filtres et Afficher les filtres de recherche. Les options de filtre affichent la liste des champs utilisés dans le graphique d'horodatage. Vous pouvez sélectionner un ou plusieurs champs à afficher dans le panneau Filtre. Après avoir sélectionné les options de filtre, les champs générés par la commande timestats ainsi que les champs utilisés dans la clause by sont affichés au-dessus du graphique.

  Sélectionnez un ou plusieurs filtres pour voir uniquement les points de données spécifiques. Vous pouvez réinitialiser la sélection de filtre en désactivant l'option Sélectionner tout.

• Rechercher et personnaliser des filtres : Cliquez sur l'icône Options à côté d'un nom de filtre pour voir la liste complète des valeurs de ce filtre. Vous pouvez entrer le texte pour la recherche. Vous pouvez également fournir des expressions rationnelles pour la recherche. Par exemple, la recherche de e$ affichera tous les résultats se terminant par la lettre e.

  Cochez l'option Inverser pour afficher uniquement les valeurs qui ne correspondent pas aux critères.

• Sélectionner des couleurs : Vous pouvez configurer la couleur pour chaque série chronologique.

  Prenons l'interrogation suivante qui montre la tendance de chaque Status dans les journaux de vérification OCI :

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  Le graphique affiche les valeurs de statut et leur couleur par défaut. Les valeurs du champ Statut sont 200, 201, 404, 409, 204 et 400.

  
  
  
  
  

  Activez les filtres à l'aide des options de graphique pour afficher l'option de couleur à côté du graphique.

  
  
  
  
  

  Cliquez sur le lien Couleur, sélectionnez le champ Status et sélectionnez une palette ayant autant de couleurs que les valeurs à configurer.

  
  
  
  
  

  Mettez à jour chaque expression de couleur avec la valeur ou une expression rationnelle à mettre en correspondance.

  
  
  
  
  

  Vous pouvez répéter ce processus pour chaque champ de la liste déroulante Couleur pour configurer les couleurs.

Fonctionnement du lien timecluster

La mise en grappe examine chaque série chronologique ayant une forme et des valeurs similaires. Voici quelques-unes des caractéristiques utilisées pour regrouper les séries chronologiques :

• Pics et vallées de la série chronologique : Les séries chronologiques avec des pics et des vallées similaires ont tendance à être regroupées.

• Valeurs à chaque point : Même si deux séries chronologiques ont des pics similaires, elles peuvent toujours tomber dans des grappes différentes, si les valeurs sont éloignées les unes des autres.

Chaque grappe obtient les propriétés suivantes affichées dans la console :

timecluster a une syntaxe et des options similaires à celles de la commande timestats. Pour comprendre la syntaxe et les options de configuration des graphiques de série chronologique, voir Présentation de la syntaxe Link timestats et Options de configuration des graphiques de série chronologique.

Pour un exemple de cas d'utilisation de traçage d'une série chronologique à l'aide de timecluster, voir Mise en grappe de séries chronologiques.