Prenons l'exemple d'un jeu de données constitué de journaux d'accès d'Oracle WebLogic Server issus de la source de journaux FMW WLS Server Access Logs. Les enregistrements de journal contiennent des données sur l'accès des utilisateurs à Oracle WebLogic Server au cours d'une période spécifique. Ces enregistrements de journal individuels peuvent être analysés pour obtenir des informations pertinentes sur les statistiques d'utilisation, la popularité des URL, les utilisateurs les plus actifs et bien plus encore. À partir des journaux, apprenez à obtenir les résultats suivants en analysant les enregistrements des journaux avec la sélection de champs spécifiques pour chaque résultat :

1. Afficher les URL principales par nombre d'occurrences

2. Afficher les anomalies par nombre d'occurrences

3. Afficher les anomalies par durée d'accès

4. Identifier les URL par taille de chargement

5. Identifier les URL par taille de téléchargement

6. Analyser la corrélation entre le nombre d'occurrences et la taille de téléchargement

7. Déterminer les pages les plus consultées

8. Identifier les principaux utilisateurs

9. Identifier les principaux utilisateurs et leurs pages favorites

10. Identifier la page d'entrée qui génère le plus de visites

11. Identifier le chemin d'entrée et de sortie pour la plupart des utilisateurs

Pour extraire le jeu de données, sélectionnez un intervalle de dates approprié, indiquez la source de journaux et exécutez l'interrogation :

'Log Source' = 'FMW WLS Server Access Logs'

Sélectionnez Link dans le panneau Visualiser. Ceci affiche la table des groupes 'FMW WLS Server Access Logs' et le graphique à bulles.

1. Pour afficher les URL principales par nombre d'occurrences, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, obtenez le nombre total de l'URL dans chaque groupe, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et affichez le résultat dans le format tabulaire. Cette analyse vous permet de déterminer les URL les plus utilisées.

   1. Glissez-déposez le champ URI vers Regrouper par et supprimez le champ Source de journaux de Regrouper par.

   2. Après l'exécution de l'interrogation, dans la ligne de commande, remplacez les noms des champs Count par Number of Hits, Start Time par First Access, End Time par Last Access et Group Duration par Access Duration.

   3. Supprimez la commande classify de la ligne de commande et soumettez l'interrogation.

      L'interrogation se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

   Lors de l'exécution de l'interrogation, vous pouvez déterminer les principales URL en fonction du nombre d'occurrences dans la table. Les colonnes sont renommées comme indiqué dans la commande rename.

2. Pour afficher les anomalies par nombre d'occurrences, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour le nombre d'occurrences de l'URL. Grâce à cette analyse, vous pouvez distinguer les modèles inhabituels d'accès aux URL.

   Cliquez sur Analyser, sélectionnez Nombre d'occurrences et cliquez sur OK.

   L'interrogation doit maintenant être la suivante :

   'Log Source' = 'FMW WLS Server Access Logs' | link URI | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Number of Hits'

   Cette interrogation déclenche l'analyse de la colonne 'Number of Hits' (Nombre d'occurrences) et crée des bulles représentant les intervalles les plus courants. La majorité des valeurs sont traitées comme des valeurs de référence. Par exemple, une grande bulle peut devenir la référence, ou un grand nombre de bulles plus petites regroupées peuvent former la référence. Les bulles les plus éloignées de la référence sont marquées comme étant des anomalies.

   Ainsi, les URL anormales sont regroupées en bulles distinctes dans le graphique à bulles. Pour afficher le pourcentage d'URL dans chaque intervalle de nombre d'occurrences, pointez le curseur de la souris sur les bulles.

3. Pour afficher les anomalies par durée d'accès, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour la durée d'accès de l'URL. Cette analyse vous permet de distinguer les modèles inhabituels de temps d'accès aux URL. Après l'étape 2 :

   Cliquez sur Analyser, sélectionnez Durée d'accès et cliquez sur OK.

   La durée d'accès est une indication de la durée d'accès à chaque URL. Elle est calculée comme la différence entre le dernier horodatage et le premier horodatage dans le fichier journal pour chaque URL.

4. Pour identifier les URL par taille de chargement, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour la taille des données chargées. Cette analyse vous permet d'identifier les URL dont la taille de données chargées est inhabituelle. Après l'étape 3 :

   1. Glissez-déposez le champ Content Size In (Taille de contenu en entrée) vers la section Value (Valeur).

   2. Remplacez le champ Content Size In (Taille de contenu en entrée) par Bytes Uploaded (Octets chargés) en modifiant l'interrogation sur la ligne de commande et exécutez l'interrogation.

   3. Cliquez sur Analyser, sélectionnez Bytes Uploaded et cliquez sur OK.

      L'interrogation se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Bytes Uploaded'

      Le graphique d'analyse affiche les groupes d'URL en fonction des octets chargés.

   4. Pour corréler les données des octets chargés sur l'intervalle de temps, vous pouvez masquer ou afficher des graphiques de manière sélective dans les options d'histogramme. Explorez les autres options de visualisation à côté du graphique à barres.

5. Pour identifier les URL par taille de téléchargement, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour la taille des données téléchargées. Cette analyse vous permet d'identifier les URL dont la taille de données téléchargées est inhabituelle. Après l'étape 4 :

   1. Glissez-déposez le champ Content Size Out (Taille de contenu en sortie) dans la section Value (Valeur) et supprimez Content Size In (Taille de contenu en entrée) de la section Value (Valeur).

   2. Remplacez le champ Content Size Out (Taille de contenu en sortie) par Download Size (Taille de téléchargement) en modifiant l'interrogation sur la ligne de commande et exécutez l'interrogation.

   3. Cliquez sur Analyser, sélectionnez Taille de téléchargement et cliquez sur OK.

      L'interrogation se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 300 'Download Size'

      Le graphique d'analyse affiche les groupes d'URL en fonction de la taille de téléchargement.

   4. Pour corréler les données de taille de téléchargement sur l'intervalle de temps, vous pouvez masquer ou afficher des graphiques de manière sélective dans les options d'histogramme. Explorez les autres options de visualisation à côté du graphique à barres.

6. Pour analyser la corrélation entre le nombre d'occurrences et la taille de téléchargement, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour la taille des données téléchargées et le nombre d'occurrences. Grâce à cette analyse, vous pouvez identifier les URL qui ont des modèles inhabituels de taille de données téléchargées et le nombre d'occurrence. Après l'étape 5 :

   1. Cliquez sur Analyser, sélectionnez les champs Nombre d'occurrences, Taille de téléchargement, puis cliquez sur OK.

   2. Supprimez topcount=300 de l'interrogation pour voir toutes les bulles et exécutez l'interrogation.

      L'interrogation se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size Out') as 'Download Size' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify 'Download Size', 'Number of Hits'

   Dans le graphique à bulles, le champ Nombre d'occurrences est tracé le long de l'axe X et la Taille de téléchargement le long de l'axe Y.

   
   
   
   Description de l'illustration correlation.bmp
   
   

   Les bulles peuvent être interprétées comme suit :

   • 73,8 % des URL ont été consultées une à sept fois.

   • La taille moyenne de téléchargement pour les 73,8 % des URL est comprise entre 32 345 et 34 000. Cet intervalle étroit implique qu'un grand nombre d'URL ont un comportement très uniforme en ce qui concerne la taille de téléchargement.

   • Comme 73,8% est la grande majorité, les autres points sont marqués comme des anomalies.

   • Avec des données réelles, il est courant que le système regroupe les fichiers .css, .js et d'image séparément des autres URL car elles ont généralement des comportements de téléchargement différents.

7. Pour déterminer les pages les plus consultées, regroupez les enregistrements de journal en fonction de la valeur de l'URL dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour le nombre de visiteurs uniques. Grâce à cette analyse, vous pouvez identifier les URL les plus consultées par les visiteurs uniques. Après l'étape 6 :

   1. Glissez-déposez le champ User Name (Nom d'utilisateur) vers la section Value (Valeur).

   2. Cliquez sur la flèche vers le bas à côté du nom du champ, remplacez la fonction Unique par Distinct Count. Consultez les autres fonctions que vous pouvez sélectionner pour un champ numérique :

   3. Renommez le champ User Name (Nom d'utilisateur) en Number of Unique Users (Nombre d'utilisateurs uniques), supprimez la commande classify en modifiant l'interrogation sur la ligne de commande et exécutez l'interrogation. L'interrogation se présente comme suit :

      'Log Source' = 'FMW WLS Server Access Logs' | link URI | stats avg('Content Size In') as 'Bytes Uploaded', avg('Content Size Out') as 'Download Size', distinctcount('User Name') as 'Number of Unique Users' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' 

   4. Cliquez sur Analyser, sélectionnez le champ Nombre d'utilisateurs uniques et cliquez sur OK.

   Le tableau répertorie les URL et le nombre correspondant d'utilisateurs uniques, ce qui nous aide à identifier les URL les plus visitées par des utilisateurs uniques. À partir de la table, vous pouvez également déterminer le nombre d'occurrences de chaque URL.

   L'analyse montre que plus de 99 % des URL ont 0 ou 1 utilisateur unique. Cela serait le cas pour les URL qui n'ont pas besoin de connexion ou qui sont rarement consultées. Le forage de n'importe quelle bulle plus petite pointe vers les pages spécifiques, le nombre d'occurrences qu'elles ont généralement et le nombre de visiteurs uniques.

8. Pour identifier les utilisateurs principaux, regroupez les enregistrements de journal en fonction de la valeur du nom d'utilisateur dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes en fonction du nombre d'occurrences. Cette analyse vous permet d'identifier les utilisateurs les plus actifs.

   1. Modifiez la ligne de commande pour supprimer tous les filtres : 'Log Source' = 'FMW WLS Server Access Logs' | link URI

   2. Glissez-déposez le champ Nom d'utilisateur dans Regrouper par, supprimez URI et exécutez l'interrogation.

   3. Supprimez la commande classify, renommez les champs par défaut dans la ligne de commande et exécutez l'interrogation suivante :

      'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration'

      La table est triée en fonction du nombre d'occurrences par l'utilisateur.

   4. Pour voir le comportement de l'utilisateur par accès, cliquez sur Analyser, sélectionnez le champ Nombre d'occurrences et cliquez sur OK.

   5. Cliquez sur les anomalies pour identifier les utilisateurs qui ont enregistré un nombre de résultats supérieur ou inférieur à celui des autres utilisateurs.

9. Pour identifier les utilisateurs principaux et leurs pages favorites, regroupez les enregistrements de journal en fonction de la valeur du nom d'utilisateur dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour le nombre de pages uniques. Cette analyse vous permet d'identifier les utilisateurs les plus et les moins actifs, ainsi que leurs pages favorites. Après l'étape 8 :

   1. Glissez-déposez le champ URI vers la section Value (Valeur). Remplacez la fonction Unique par Distinct Count.

   2. Renommez le champ URI en Number of Unique Pages (Nombre de pages uniques) en modifiant l'interrogation dans la ligne de commande et exécutez l'interrogation.

   3. Cliquez sur Analyser, sélectionnez le champ Nombre de pages uniques et cliquez sur OK.

10. Pour identifier la page d'entrée qui génère le plus de visites, regroupez les enregistrements de journal en fonction de la valeur du nom d'utilisateur dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour les valeurs des URL d'entrée et le nombre d'occurrences pour les URL. Cette analyse vous permet d'identifier les pages que les utilisateurs ont consultées en premier. Après l'étape 9 :

    1. Pour obtenir les URL d'entrée, faites passer la fonction du champ URI de Distinct Count à Earliest.

    2. Renommez le champ URI en Entry URL (URL d'entrée) en modifiant l'interrogation dans la ligne de commande et exécutez l'interrogation.

    3. Cliquez sur Analyser, sélectionnez les champs Number of Hits et Entry URL, sélectionnez 20 pour topcount et cliquez sur OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Number of Hits', 'Entry URL'

    
    
    
    Description de l'illustration entry_page.bmp
    
    

    La première URL utilisée par les utilisateurs est affichée en fonction du nombre d'occurrences. Par exemple, /login est la première URL majoritaire des utilisateurs.

11. Pour identifier le chemin d'entrée et de sortie pour la plupart des utilisateurs, regroupez les enregistrements de journal par la valeur du nom d'utilisateur dans l'enregistrement de journal, renommez les champs par défaut dans la table des groupes en fonction des valeurs appropriées et analysez les groupes pour les valeurs des URL d'entrée et des URL de sortie. Grâce à cette analyse, vous pouvez identifier :

    • Les chemins les plus courants empruntés par les utilisateurs pour transiter par le site Web

    • Les pages de produits les plus populaires à partir desquelles les utilisateurs quittent le site Web

    • Les URL de sortie les plus courantes, comme les pages de sortie de produit ou la passerelle de paiement

    • Les URL de sortie inhabituelles, et la cause fondamentale des sorties inattendues

    Après l'étape 10 :

    1. Glissez-déposez le champ URI vers la section Value (Valeur).

    2. Pour obtenir la page de sortie, faites passer la fonction du champ URI de Unique à Latest.

    3. Modifiez la ligne de commande et renommez le champ latest(URI) en Exit URL (URL de sortie), puis soumettez l'interrogation.

    4. Cliquez sur Analyser, sélectionnez les champs Entry URL et Exit URL, sélectionnez 20 pour topcount et cliquez sur OK.

       'Log Source' = 'FMW WLS Server Access Logs' | link 'User Name' | stats earliest(URI) as 'Entry URL', latest(URI) as 'Exit URL' | rename Count as 'Number of Hits', 'Start Time' as 'First Access', 'End Time' as 'Last Access', 'Group Duration' as 'Access Duration' | classify topcount = 20 'Entry URL', 'Exit URL'

    5. Augmentez la taille du graphique à l'aide des options d'analyse de graphique.

    
    
    
    Description de l'illustration entry_exit.bmp
    
    

    Ce graphique à cases affiche la relation entre les URL d'entrée et de sortie d'un site. Cela serait très utile pour les sites de vente au détail où les fournisseurs de services voudraient identifier les URL d'entrée qui mènent les clients aux pages de paiement, et les URL de produits qui font que les utilisateurs ne passent pas au paiement.

Pour créer un champ virtuel, vous pouvez utiliser la commande eval dans la fonction Link. L'interrogation eval sur la ligne de commande va générer un graphique linéaire pour le champ virtuel et permettre d'en effectuer le suivi dans le temps.

Exemples :

• Considérons le scénario dans lequel les enregistrements de journal de la source de journaux SAR CPU Logs sont regroupés en fonction du nom d'hôte et de l'UC. Pour déterminer la charge subie par l'UC du serveur au fil du temps, la commande eval crée un champ virtuel Load % et génère le graphique linéaire.

  'Log Source' = 'SAR CPU Logs' | rename Instance as CPU | link 'Host Name (Server)', CPU | stats avg('CPU Idle Time (%)') as 'CPU Idle Time (%)' | eval 'Load %' = 100 - 'CPU Idle Time (%)'

  Pour afficher le graphique linéaire :

  1. Cliquez sur l'onglet Histogramme.

  2. Cliquez sur la flèche vers le bas à côté de l'icône Options de graphique (). Cliquez sur Masquer/Afficher les graphiques. Sélectionnez Load % (% de charge).

  3. Cliquez sur la flèche vers le bas à côté de l'icône Options de graphique (). Cliquez sur Options de graphique. Dans la liste Type de graphique, sélectionnez Ligne sans marqueur. Cliquez sur Fermer.

  
  
  
  Description de l'illustration eval_load_cpu.png
  
  

• Prenons le scénario dans lequel les enregistrements de journal de la source de journaux OMC WLS Server Access Logs sont regroupés en fonction de l'URI. Pour déterminer la taille des données consultées au fil du temps en mégaoctets, la commande eval crée un champ virtuel Content Size (MB), calcule la taille du contenu en mégaoctets en fonction de la valeur du champ Content Size et génère le graphique linéaire.

  'Log Source' = 'WLS Server Access Logs' | link URI | stats avg('Content Size') as 'Content Size Bytes' | eval 'Content Size (MB)' = 'Content Size Bytes' / 1024

  Pour afficher le graphique linéaire :

  1. Cliquez sur l'onglet Histogramme.

  2. Cliquez sur la flèche vers le bas à côté de l'icône Options de graphique (). Cliquez sur Masquer/Afficher les graphiques. Sélectionnez Content Size (MB) (Taille de contenu (Mo)) et Access Log Records (Enregistrements de journal d'accès).

  3. Cliquez sur la flèche vers le bas à côté de l'icône Options de graphique (). Cliquez sur Options de graphique. Dans la liste Type de graphique, sélectionnez Ligne sans marqueur. Cliquez sur Fermer.

  
  
  
  Description de l'illustration content_size_mb.png
  
  

Vous pouvez utiliser link 'SQL Statement' pour regrouper des énoncés SQL et analyser leur comportement afin d'identifier des anomalies.

Exemple :

Examinons l'interrogation suivante qui lie les enregistrements de journal en fonction du champ Énoncé SQL :

'Log Source' in ('Database Audit Logs', 'Database Audit XML Logs') 
	| rename 'Host Name (Server)' as 'DB Server', 'User Name (Originating)' as 'OS User', 'User Name' as 'DB User' 
	| link 'SQL Statement' 
	| rename Count as 'Number of Runs', 'Start Time' as 'First Run', 'End Time' as 'Last Run', 'Group Duration' as Age 
	| addfields [ Object = dual | stats count as 'dual Table Access' ], 
		[ Object like 'all_%' | stats count as 'ALL_ Table Access' ], 
		[ Object like 'dba_%' | stats count as 'DBA_ Table Access' ], 
		[ Object like 'user_%' | stats count as 'USER_ Table Access' ], 
		[ Object like 'v$%' | stats count as 'VDollar Table Access' ], 
		[ Object = null | stats count as 'No Table Access' ], 
		[ Action = '2' | stats count as 'Insert Count' ], 
		[ Action = '3' | stats count as 'Select Count' ], 
		[ Action = '6' | stats count as 'Update Count' ], 
		[ Action = '7' | stats count as 'Delete Count' ], 
		[ Type = '8' | stats count as 'Connect Count' ], 
		[ 'Status Code' = 1 | stats count as Failures ] 
	| eval 'Object Type' = if('dual Table Access' > 0, Dual, 
		'ALL_ Table Access' > 0, System, 
		'DBA_ Table Access' > 0, System, 
		'USER_ Table Access' > 0, System, 
		'VDollar Table Access' > 0, System, 
		'No Table Access' > 0, 'No Table', Other) 
	| eval 'SQL Type' = if('Insert Count' > 0, Insert, 
		'Select Count' > 0, Select, 
		'Update Count' > 0, Update, 
		'Delete Count' > 0, Delete, 
		'Connect Count' > 0, Connect, Other) 
	| stats distinctcount(Object) as Objects, distinctcount('Database ID') as 'Number of DBs', 
		distinctcount(Session) as 'Number of Sessions' 
	| fields -'dual Table Access', -'No Table Access', -'ALL_ Table Access', 
		-'USER_ Table Access', -'DBA_ Table Access', -'VDollar Table Access', -'Insert Count', 
		-'Select Count', -'Update Count', -'Delete Count', -'Connect Count', -'SQL Type', -'Object Type' 
	| classify Age 
	| classify 'Number of Sessions' 
	| classify 'Number of DBs' 
	| classify 'Number of Runs', 'Object Type' 
	| classify 'Object Type', 'SQL Type'

L'exécution de l'interrogation ci-dessus permet d'observer les résultats suivants :

• En fonction de la commande classify, les graphiques à bulles pour Age, Number of Sessions, Number of DBs, Number of Runs, Object Type et Object Type, SQL Type sont générés.

  
  
  
  Description de l'illustration link_sql_statement.png
  
  
  
  
  Description de l'illustration link_sql_bubble.png
  
  

  Dans les graphiques à bulles, les enregistrements de journal sont regroupés en fonction du nombre d'énoncés SQL figurant dans chaque jeu de paramètres. Les paramètres Object Type et SQL Type sont déterminés à l'aide de la commande eval dans l'interrogation.

• Les histogrammes de type Ligne avec zone illustrent l'occurrence des champs tels que dual Table Access, No Table Access, ALL_ Table Access, USER_ Table Access, DBA_ Table Access, VDollar Table Access, Insert Count, Select Count, Update Count, Delete Count, Connect Count et Log Records tracés par rapport au temps.

  1. Dans l'onglet d'histogramme, cliquez sur la flèche vers le bas à côté de l'icône Options de graphique ().

  2. Affichez les graphiques pour tous les champs.

  3. Sous Type de graphique, sélectionnez Ligne avec zone.

  4. Ajustez la largeur pour afficher deux graphiques par ligne.

  
  
  
  Description de l'illustration link_sql_area_chart.png
  
  

• La table des groupes répertorie les groupes identifiés par Link en fonction du champ Énoncé SQL. Pour chaque énoncé SQL, la table indique le nombre de fois où l'énoncé SQL a été exécuté, l'heure de début, l'heure de fin et la durée de groupe. Cliquez sur chaque groupe et consultez les enregistrements de journal pour plus de détails. Vous pouvez également afficher les groupes dans la visualisation de regroupements pour une analyse plus approfondie.

  
  
  
  Description de l'illustration link_sql_table.png
  
  

Prenons ce jeu de données non trié extrait d'un fichier journal d'accès. Les champs suivants présentent les informations concernant une session d'utilisateur et les actions effectuées par l'utilisateur :

Time | Session ID | Action
 T2  | 1          | Login
 T1  | 5          | Login
 T6  | 1          | addtocart
 T3  | 1          | productlisting
 T4  | 1          | purchase
 T9  | 1          | purchase
 T7  | 5          | addtocart
 T5  | 1          | addtocart
 T8  | 5          | purchase 

Les actions telles que Login, addtocart, productlisting et purchase sont enregistrées dans un ordre aléatoire T1 à T9 et sont survenues dans deux sessions avec l'ID session 1 et 5.

Pour effectuer une analyse temporelle similaire de vos journaux d'accès, extrayez Session ID des journaux dans un champ. Extrayez les étapes intermédiaires de la session à partir des journaux d'accès en appliquant une expression rationnelle pour obtenir la valeur URL à partir des journaux.

Dans un contexte générique, les sessions de cet exemple représentent toutes les transactions d'utilisateur, et les actions représentent les étapes intermédiaires effectuées par l'utilisateur pour terminer une transaction.

Pour analyser ces données non triées et extraire les informations requises, exécutez l'exemple d'interrogation suivant :

'Upload Name' = logadmin 
| link 'Session ID'
| rename 'Group Duration' as 'Session Duration' 
| addfields 
  [ Action = addtocart | stats earliest(Time) as 'First Add To Cart Time' ], 
  [ Action = purchase | stats latest(Time) as 'Last Purchase Time' ] 
| eval 'Time Taken for Purchase (Secs)' = ('Last Purchase Time' - 'First Add To Cart Time') / 1000 
| fields -'First Add To Cart Time', 
         -'Last Purchase Time' 
| classify 'Time Taken for Purchase (Secs)'

• link 'Session ID' regroupe les enregistrements des journaux d'accès par ID session en créant deux groupes :

  Time | Session ID | Action
   T2  | 1          | Login
   T6  | 1          | addtocart
   T3  | 1          | productlisting
   T4  | 1          | purchase
   T5  | 1          | addtocart
   T9  | 1          | purchase
  
   T1  | 5          | Login
   T7  | 5          | addtocart
   T8  | 5          | purchase

• La commande addfields est exécutée sur chacun de ces groupes. La première commande addfields sélectionne les enregistrements où Action = addtocart. Le résultat de cette interrogation est le suivant pour les deux groupes :

  Time | Session ID | Action
   T6  | 1          | addtocart
   T5  | 1          | addtocart
  
   T7  | 5          | addtocart

• stats earliest(Time) trie les résultats ci-dessus en fonction du temps, pour chaque groupe :

  Time | Session ID | Action
   T5  | 1          | addtocart
   T6  | 1          | addtocart
   
   T7  | 5          | addtocart

• Le champ spécifié, qui est Time, est ensuite extrait du premier enregistrement :

  'First Add To Cart Time' = T5 for Group = 1
  'First Add To Cart Time' = T7 for Group = 5

• La seconde commande addfields s'exécute sur Action = purchase, en extrayant les enregistrements suivants :

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) trie également les enregistrements ci-dessus en fonction de Time :

  Time | Session ID | Action
   T4  | 1          | purchase
   T9  | 1          | purchase
  
   T8  | 5          | purchase

• latest(Time) sélectionne le dernier enregistrement et extrait le champ spécifié, qui est Time :

  'Last Purchase Time' = T9 for Group = 1
  'Last Purchase Time' = T8 for Group = 5

• À ce stade, les valeurs First Add to Cart Time et Last Purchase Time sont définies pour les deux groupes. Ce sont des horodatages. eval soustrait l'un de l'autre pour obtenir le temps écoulé.

• En effet, vous pouvez obtenir le temps écoulé entre l'ajout au panier et l'étape Achat pour chaque session. Cela peut maintenant être utilisé dans classify pour analyser la variation de ce Temps écoulé dans toutes les sessions.

  
  
  
  Description de l'illustration time_analysis_bubble.png
  
  

Pour la syntaxe et d'autres détails de la commande addfields, voir addfields.