Activer les filtres

La boîte de dialogue Options de filtre affiche la liste des champs utilisés dans le graphique des temps. Cochez la case Afficher les filtres de recherche. Vous pouvez sélectionner un ou plusieurs champs à afficher dans le panneau Filtre. Prenons par exemple la recherche suivante :

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Entity Type'
| timestats name = 'Entity Types'
            sum(Count) as 'Number of Logs',
            sum('Raw Size (bytes)') as 'Log Size'
        by 'Entity Type'

La boîte de dialogue Options de filtre affiche maintenant les champs suivants générés par la commande timestats et les champs utilisés dans la clause par : Type d'entité, Nombre de journaux, Taille du journal.

Dans le panneau des champs, vous pouvez sélectionner un ou plusieurs filtres pour afficher uniquement ces points de données spécifiques. Vous pouvez réinitialiser le filtre en activant l'option Sélectionner tout.

Une fois le filtre activé pour un champ spécifique, pour voir la liste complète des valeurs d'un champ chaîne, cliquez sur l'icône Paramètres à côté du nom du champ.

Personnaliser les filtres

Accédez à la boîte de dialogue Personnaliser les filtres à partir du menu Paramètres à côté du titre de votre graphique de série chronologique.

Dans le cas des champs numériques, vous pouvez également personnaliser le filtre en cliquant sur l'icône Paramètres à côté du nom du champ numérique. La boîte de dialogue Personnaliser le filtre s'ouvre. Les options Méthode de calcul de l'intervalle suivantes sont disponibles :

• Par défaut : Par défaut, l'intervalle est fixé au cinquième de la valeur maximale, puis arrondi à 2s, 3s, 4s, 5s ou 10s. Par exemple, si la valeur maximale est 48, l'intervalle sera 10. Then the buckets would be calculated as Below 0, Up to 9, 10 - 19, 20 - 29, 30 - 39, 40 - 49, Above 50.

• Logarithmique : Pour utiliser des intervalles logarithmiques tels que 1 - 10, 10 - 100 et 1000 - 10000, remplacez la méthode de calcul d'intervalle par logarithmique.

• Personnalisé : Certains jeux de données nécessitent des intervalles de variables. Par exemple, considérez l'exigence de seau de moyenne d'UC comme 0 - 30 % pour la sous-utilisation, 30 - 80 % comme utilisation efficace, 80 - 95 % comme avertissement et tout élément supérieur à 95 % comme extrême. Pour configurer des intervalles de variables pour cela, vous pouvez fournir des valeurs séparées par des virgules 30,80,95. Les seaux sont alors créés 0-30, 30-80, 80-95, 95+.

Vous pouvez facultativement activer la case à cocher Valeurs de seau <= 0 séparément pour créer un seau distinct pour les valeurs de champ inférieures ou égales à zéro.

Rechercher dans le filtre

Accédez à la boîte de dialogue Personnaliser les filtres à partir du menu Paramètres à côté du titre de votre graphique de série chronologique.

Pour les champs chaîne, vous pouvez entrer une clé dans le texte à rechercher. Vous pouvez également fournir des expressions rationnelles pour la recherche. Par exemple, la recherche de e$ affiche toutes les valeurs de champ qui se terminent par la lettre e.

Cochez l'option Inverser pour afficher uniquement les valeurs qui ne correspondent pas aux critères.

Présentation de la syntaxe Link timestats

Dans le cas d'utilisation détaillé des séries chronologiques, Analyse des séries chronologiques à l'aide de la commande timestats, l'interrogation suivante est utilisée :

'Log Source' = 'OCI VCN Flow Unified Schema Logs' 
| link span=1day Time, Action
| timestats name="Trend of Action" sum(Count) as Records by Action

Les parties de la commande timestats dans l'exemple ci-dessus se présentent comme suit :

Les paramètres suivants peuvent être utilisés dans la syntaxe de commande :

*
| eval 'Raw Size (bytes)' = unit('Raw Size', byte)
| link Time, 'Log Source'
| timestats avg('Raw Size (bytes)') as Size,
            sum(Count) as Records
         by 'Log Source'

Utilisation des champs dans les horodatages Link

Il existe deux types de champs qui peuvent être utilisés pour une fonction d'horodatage :

• Champ de propriété : Champ utilisé dans la commande link ou créé à l'aide des commandes stats, eventstats, eval, lookup, nlp ou delta après link.

• Champ d'enregistrement de journal : Champ défini dans la source de journaux et existant dans l'enregistrement de journal. Vous pouvez vous référer directement à ces champs à partir d'une fonction timestats.

Seuls les champs de propriété sont autorisés dans une clause partielle. Les champs volumineux tels que Message, Contenu initial, Pile d'erreurs ne sont pas autorisés dans une fonction ou dans une clause partielle.

Partage d'un sous-jeu de journaux : Utilisez la commande addfields pour générer des graphiques pour un sous-jeu de données spécifique. Les champs utilisés dans addfields doivent être un champ de propriété. L'exemple suivant illustre l'utilisation de addfields :

*
| link Time, 'Log Source'
| addfields 
   [ * | where 'Log Source' in ('Linux Audit Logs', 
                                'Linux Secure Logs', 
                                'Linux Syslog Logs', 
                                'Linux Cron Logs') 
       | timestats name = 'Linux Logs' sum(Count) as Records by 'Log Source' 
   ],    [ * | where 'Log Source' not in ('Linux Audit Logs', 
                                          'Linux Secure Logs', 
                                          'Linux Syslog Logs', 
                                          'Linux Cron Logs') 
             | timestats name = 'Non Linux Logs' sum(Count) as Records by 'Log Source' 
   ]

Spécification du nombre de graphiques à retourner : Utilisez les paramètres topcount ou bottomcount pour spécifier le nombre de graphiques à retourner dans l'interface utilisateur.

• topcount : Lors du regroupement par champs, retourne N nombres de groupes distincts avec les valeurs agrégées les plus importantes.
• bottomcount : Lors du regroupement par champs, retourne N nombres de groupes distincts avec les valeurs agrégées les plus petites.

Par exemple :

*
| link Time, 'Log Source'
| timestats topcount = 3 name = 'Top 3 Log Sources by Count'
            sum(Count) as 'Log Records'
        by 'Log Source'
| addfields
     [ * | where 'Log Source' in ('Linux Audit Logs', 'Linux Secure Logs', 'Linux Syslog Logs', 'Linux Cron Logs')
         | timestats bottomcount = 3 name = 'Bottom 3 Linux Logs'
                     sum(Count) as Records
                   by 'Log Source' ]

Les graphiques suivants sont générés suite à l'exécution de l'interrogation ci-dessus :

Limites pour les séries chronologiques

• Nombre de champs dans la clause par : Un maximum de quatre champs est autorisé dans la clause By.

• Champs autorisés : N'utilisez pas de grands champs dans la fonction et dans la clause by. Les champs Message, Détails supplémentaires, Pile d'erreurs et Contenu de journal initial sont des exemples de grands champs.

• Valeurs nulles : Les temps alignent les valeurs de la table de liens à l'aide des valeurs de la colonne Heure de début. Par exemple, un champ Durée peut avoir des valeurs seulement pour 10:06 AM, 10:10 AM et 1:12pm. Dans le cadre de l'alignement, une commande timestats avg(Duration) ferait la moyenne des valeurs 10:06 AM et 10:10 AM en une seule moyenne pour 10:00am. Comme il n'y a pas de valeurs pour 11am et 12pm, elles sont remplies de zéros. La valeur 1:12pm est placée à l'intervalle 1 PM.

  L'intervalle d'alignement réel dépend de l'intervalle utilisé pour l'interrogation. Un intervalle peut être spécifié explicitement à l'aide du paramètre span.

• Nombre de valeurs de série chronologique : Seule la commande 100 séries par horodatage est retournée. Voici quelques exemples qui illustrent cette limite :

  • La commande timestats sum(Count) as Records by 'Log Source' retourne uniquement les 100 principales sources de journaux. Les 100 premiers sont identifiés en triant d'abord les valeurs de chaque série chronologique de la source de journaux, puis en triant ces séries chronologiques. Cela signifie que si les enregistrements d'une source de journaux contiennent tous les zéros et un seul pic important, ils sont inclus dans les résultats retournés.
  • La commande timestats sum(Count) as Records by 'Log Source', Label retourne les 100 principales combinaisons unique de source et d'étiquette de journal.

  Si des résultats partiels sont retournés, une icône d'information à côté de la série chronologique indique le nombre total de séries générées.

  Voici quelques-unes des options permettant de gérer un grand nombre de valeurs de série chronologique :

  • Utilisez la commande addfields pour filtrer les valeurs spécifiques à utiliser dans les temps.
  • Utilisez topcount ou bottomcount pour retourner les 100 premiers ou les 100 derniers graphiques.
  • Utilisez la commande timecluster pour regrouper les séries chronologiques. Cela réduit le nombre de graphiques, car seuls des échantillons représentatifs sont retournés.

Options de configuration pour les graphiques de série chronologique

Comme pour les histogrammes, les options suivantes sont disponibles pour que vous puissiez les explorer à l'aide des graphiques. Cliquez sur l'icône Options de graphique :

• Masquer/Afficher les graphiques : Vous pouvez masquer ou afficher un graphique.

• Sélection du type de graphique : Vous pouvez effectuer une sélection parmi différents types de graphique.

• Ajustement de la hauteur et de la largeur du graphique : Vous pouvez augmenter la hauteur du graphique à l'aide de l'option Hauteur. Faites glisser le contrôle Largeur pour augmenter ou réduire la largeur des graphiques. S'il y a plus d'une fonction, la réduction de la largeur entraînerait l'affichage d'un plus grand nombre de graphiques dans la même rangée. À pleine largeur, tous les graphiques sont affichés dans des rangées individuelles. En réduisant la largeur, les graphiques sont disposés dans un ordre de plusieurs colonnes.

• Corrélation entre les graphiques : Vous pouvez utiliser l'option de graphique Afficher les infobulles corrélées pour afficher les conseils d'outil corrélés entre les graphiques.

Vous pouvez également utiliser les options suivantes pour configurer vos graphiques :

• Contrôle de légende : Vous pouvez activer ou désactiver les légendes à l'aide de l'option Afficher la légende des options de graphique.

• Filtres de graphique : Vous pouvez utiliser les filtres pour analyser de manière interactive les séries chronologiques. Activez les filtres en cliquant sur Options de graphique, Filtres et Afficher les filtres de recherche. Les options de filtre affichent la liste des champs utilisés dans le graphique des temps. Vous pouvez sélectionner un ou plusieurs champs à afficher dans le panneau Filtre. Après avoir sélectionné les options de filtre, les champs générés par la commande timestats ainsi que les champs utilisés dans la clause by sont affichés au-dessus du graphique.

  Sélectionnez un ou plusieurs filtres pour voir uniquement ces points de données spécifiques. Vous pouvez réinitialiser la sélection de filtre en activant l'option Sélectionner tout.

• Rechercher et personnaliser des filtres : Cliquez sur l'icône Options à côté d'un nom de filtre pour voir la liste complète des valeurs de ce filtre. Vous pouvez entrer le texte à rechercher. Vous pouvez également fournir des expressions rationnelles pour la recherche. Par exemple, la recherche de e$ affiche tous les résultats qui se terminent par la lettre e.

  Cochez l'option Inverser pour afficher uniquement les valeurs qui ne correspondent pas aux critères.

• Sélectionner des couleurs : Vous pouvez configurer la couleur pour chaque série chronologique.

  Considérons l'interrogation suivante qui présente la tendance de chaque Status dans les journaux de vérification OCI :

  Status != null and 'Log Source' = 'OCI Audit Logs'
  | link Time, Status
  | timestats sum(Count) as 'Number of Hits' by Status

  Le graphique affiche les valeurs Statut et leur couleur par défaut. Les valeurs du champ Statut sont 200, 201, 404, 409, 204 et 400.

  
  
  
  
  

  Activez les filtres à l'aide des options de graphique pour afficher l'option de couleur à côté du graphique.

  
  
  
  
  

  Cliquez sur le lien Couleur, sélectionnez le champ Status et sélectionnez une palette comportant autant de couleurs que les valeurs à configurer.

  
  
  
  
  

  Mettez à jour chaque expression de couleur avec la valeur ou une expression rationnelle que vous souhaitez mettre en correspondance.

  
  
  
  
  

  Vous pouvez répéter ce processus pour chaque champ de la liste déroulante Couleur pour configurer les couleurs.

Fonctionnement de Link timecluster

La mise en grappe examine chaque série chronologique ayant une forme et des valeurs similaires. Voici quelques-unes des caractéristiques utilisées pour regrouper les séries chronologiques :

• Pics et vallées de la série chronologique : Les séries chronologiques avec des pics et des vallées similaires ont tendance à être regroupées.

• Valeurs à chaque point : Même si deux séries chronologiques ont des pics similaires, elles peuvent toujours tomber dans des grappes différentes, si les valeurs sont éloignées.

Chaque grappe obtient les propriétés suivantes qui sont affichées dans la console :

timecluster a une syntaxe et des options similaires à celles de la commande timestats. Pour comprendre la syntaxe et les options de configuration des graphiques de série chronologique, voir Présentation de la syntaxe Link timestats et Options de configuration pour les graphiques de série chronologique.

Pour un exemple de cas d'utilisation de traçage d'une série chronologique à l'aide de timecluster, voir Regroupement de séries chronologiques.