Recherche par requête

Oracle Log Analytics permet de sélectionner et d'exécuter une recherche récemment utilisée. Lorsque vous cliquez sur le champ de recherche ou que Vous saisissez le texte dans le champ de recherche, Oracle Log Analytics affiche la liste des recherches récemment utilisées. Vous pouvez ainsi accéder rapidement aux commandes de recherche récemment employées. Vous pouvez sélectionner n'importe quelle commande répertoriée et cliquer sur Exécuter pour exécuter la commande de recherche sélectionnée.

L'interface utilisateur Oracle Log Analytics permet de formuler une requête de recherche.

Vous pouvez utiliser les éléments suivants de l'interface utilisateur pour formuler une requête de recherche :

• Barre de recherche : la requête de recherche est affichée ici. Vous pouvez modifier directement le texte de ce champ pour affiner davantage les résultats de recherche.

  La barre de recherche grandit ou rétrécit en fonction du nombre de lignes ajoutées à la requête. Elle peut comporter un maximum de 21 lignes et un minimum de 1 ligne. Certains raccourcis personnalisés sont disponibles :

  • Ctrl + i : permet de mettre en retrait toutes les lignes de texte dans l'éditeur. La lettre majuscule I ouvre le débogueur.
  • Ctrl + Entrée : permet d'exécuter la requête affichée dans l'éditeur.
  • Ctrl + Espace : permet d'afficher la liste en écriture automatique des options selon la position du curseur.
  • Ctrl + Z : permet d'annuler la dernière modification.
  • Ctrl + Y : permet de rétablir la dernière modification.
  • Ctrl + D : permet de supprimer la ligne en cours.

  Remarque : n'utilisez pas la touche Maj, sauf indication contraire.

  Placez le curseur en regard des crochets à l'intérieur pour que l'élément correspondant soit mis en évidence. Les éléments pouvant être mis en évidence sont ( ) et [ ].

  La barre de recherche prend en charge deux thèmes différents : la couleur et les nuances de gris. Vous pouvez modifier les thèmes de façon dynamique en changeant l'option dans la fenêtre instantanée d'aide.

• Champ : le panneau Champ se compose des sections suivantes :

  • Les attributs fixes permettent de filtrer les données de journal en fonction des éléments suivants :

    • Sources de journal, telles que les journaux de base de données, les journaux Oracle WebLogic Server, etc.

    • Entités de journal, qui sont les noms réels des fichiers journaux

    • Libellés, qui sont les balises ajoutées aux entrées de journal lorsque celles-ci correspondent à des conditions définies spécifiques

    • Noms de téléchargement des données de journal téléchargées à la demande

    Par défaut, les entités et les détails de collecte sont disponibles dans le bucket Fixe du panneau Champs pour le filtrage. Vous pouvez épingler des champs supplémentaires au bucket Fixe en fonction de votre utilisation. Une fois épinglés, les champs sont déplacés vers le bucket Fixe. Vous pouvez détacher n'importe quel champ, et l'enlever du bucket Fixe pour le replacer dans le bucket Intéressant ou Autre.

  • En fonction des recherches et des requêtes, Oracle Log Analytics ajoute automatiquement des champs au bucket Intéressant pour référence rapide. Vous pouvez épingler un champ disponible dans le bucket Intéressant. Le champ épinglé est déplacé vers le bucket Fixe.

  • Vous pouvez épingler n'importe quel champ dans le bucket Autre et le déplacer vers le bucket Fixe. Si vous utilisez un champ du bucket Autre dans votre recherche ou requête, il est déplacé vers le bucket Intéressant.

    Les options sélectionnées sont ajoutées automatiquement à la requête dans la barre Rechercher.

• Visualiser : dans ce panneau, vous pouvez sélectionner la façon dont vous voulez afficher les résultats de recherche. Dans le champ Regrouper par, vous pouvez choisir les mesures selon lesquelles regrouper les résultats.

• Enregistrer : utilisez ce bouton pour enregistrer la requête de recherche figurant actuellement dans le champ Rechercher pour pouvoir l'exécuter ultérieurement.

• Ouvrir : utilisez ce bouton pour visualiser les requêtes de recherche précédemment enregistrées. Vous pouvez exécuter ces requêtes et obtenir les résultats en cours, ou utiliser ces requêtes pour créer des tableaux de bord.

• Nouveau : utilisez ce bouton pour lancer une nouvelle requête de recherche.

• Exporter : utilisez ce bouton pour exporter le résultat de la requête de recherche en cours dans un fichier au format CSV (Comma-seperated Values) ou JSON (JavaScript Object Notation).

• Exécuter : utilisez ce bouton pour exécuter la requête figurant actuellement dans le champ Rechercher.

• Sélecteur d'heure : utilisez le sélecteur d'heure pour indiquer la période.

• Panneau de visualisation : les résultats de la requête de recherche sont affichés dans ce panneau. Les informations filtrées dans ce panneau sont chargées lorsque la requête du champ Rechercher est exécutée. En cliquant sur n'importe quelle zone du graphique dans le panneau de visualisation, vous pouvez effectuer une analyse descendante vers la requête de recherche et la mettre à jour.

Les requêtes de type chaîne peuvent inclure des mots-clés et des expressions. Un mot-clé est un mot unique (par exemple, database), tandis qu'une expression fait référence à plusieurs mots, entre apostrophes (' ') ou guillemets (" ") (par exemple, ‘database connection’). Si vous indiquez un mot-clé ou une expression dans la requête, toutes les entrées de journal contenant ce mot-clé ou cette expression sont renvoyées après l'exécution de la requête.

Le langage Oracle Log Analytics Search Language prend également en charge la correspondance de modèles spéciaux. En d'autres termes, vous pouvez utiliser des caractères génériques, tels que l'astérisque (*), le point d'interrogation (?) et le pourcentage (%), pour compléter les mots-clés.

Le tableau suivant répertorie les caractères génériques pris en charge et fournit une brève description de chacun.

Vous pouvez spécifier plusieurs mots-clés. Par exemple : database et connection. Les journaux contenant les mots database et connection (pas nécessairement ensemble) sont renvoyés. Toutefois, ces mots ne doivent pas nécessairement apparaître l'un à la suite de l'autre. En revanche, si vous placez les mots entre guillemets et que vous les incluez dans la chaîne de requête en tant qu'expression (‘database connection’, par exemple), seuls les journaux contenant l'expression ‘database connection’ sont renvoyés. Pour savoir comment utiliser plusieurs mots-clés, reportez-vous à Utilisation d'expressions booléennes.

Lorsque vous indiquez un mot-clé ou une expression, tenez compte de ce qui suit :

• Les mots-clés et les chaînes d'expression ne distinguent pas les majuscules des minuscules.

• Les mots-clés qui ne sont pas placés entre guillemets doivent contenir uniquement des caractères alphanumériques, des traits de soulignement (_) et des caractères génériques (*, % et ?).

• Les recherches par mot-clé dans lesquelles la sous-chaîne peut être interprétée comme une directive distincte doivent être spécifiées entre guillemets. Par exemple, pour rechercher la chaîne and, vous devez la saisir entre apostrophes (‘and’) afin d'empêcher le système d'utiliser sa signification booléenne.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Les opérateurs de comparaison sont les conditions que vous spécifiez pour établir une relation entre un champ et sa valeur. Les champs sans valeur sont considérés comme NULL.

Le tableau suivant répertorie les opérateurs de comparaison pris en charge et fournit une brève description de chacun.

Utilisez ces opérateurs pour rechercher les journaux dont les champs présentent des valeurs spécifiques. Par exemple, indiquez Severity=’ERROR’ pour effectuer une recherche dans les journaux disponibles où la valeur du champ Severity est ERROR. De même, Severity!=NULL renvoie tous les journaux où la valeur du champ Severity n'est pas NULL (en d'autres termes, où la gravité a été indiquée).

La fonctionnalité Oracle Log Analytics Search possède les caractéristiques de LIKE et REGEX, conformément aux conventions standard. Les expressions booléennes peuvent prendre la valeur true ou false.

Le tableau suivant répertorie les expressions booléennes prises en charge, ainsi qu'une brève description de chacune.

Le langage Oracle Log Analytics Search prend en charge l'imbrication d'expressions booléennes dans d'autres expressions booléennes. Par exemple, prenons la requête suivante :

fatal ('order' OR host LIKE '*.oracle.com')

L'exécution de cette requête renvoie tous les journaux contenant fatal, et soit qui incluent le mot-clé order soit qui proviennent d'un hôte dont le nom se termine par .oracle.com.

Vous pouvez accéder à l'interface utilisateur Oracle Log Analytics pour formuler une requête de recherche.

Par défaut, la requête * | stats count by ‘log source’ est spécifiée dans le champ Rechercher.

En général, la période que vous sélectionnez dans l'explorateur de journaux n'est pas incluse dans la chaîne de requête. Vous pouvez spécifier la période dans votre requête à l'aide du modificateur Temps absolu ou Temps relatif dans la commande search.

Exemples où une période peut être spécifiée dans la requête :

• Renvoyer tous les journaux d'erreurs ORA-600 découverts au cours des dernières 24 heures :

  Message like 'ORA-600%' and time > dateRelative(24h)

• Renvoyer le nombre de journaux pour la cible hôte myHost au cours des 90 derniers jours :

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

Les sous-requêtes permettent à la requête enfant d'ajouter un filtre dynamique à ses requêtes parent. Les sous-requêtes sont évaluées en premier et le résultat est ensuite utilisé dans la requête parent.

• Vous pouvez imbriquer des sous-requêtes les unes dans les autres, et une requête particulière peut comporter plusieurs sous-requêtes au même niveau.
• Par défaut, les sous-requêtes héritent de la période globale, mais vous pouvez la remplacer à l'aide de la syntaxe time between T1 and T2, si nécessaire.
• Les sous-requêtes ne renvoient que les 2 000 premières correspondances comme entrées à leur parent. Les autres résultats sont tronqués.
• Le délai d'expiration maximal est de 30 secondes.
• Le nom de tous les champs renvoyés par une sous-requête doit correspondre au nom des champs de la requête parent. Sinon, une erreur est signalée.
• Vous pouvez utiliser les sous-requêtes uniquement dans une commande de recherche.
• Vous pouvez utiliser toutes les commandes dans une sous-requête, sauf cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight et highlightrows.

Exemples :

• Pour représenter dans un graphique le trafic de la liste noire d'adresses IP au fil du temps :

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Pour répertorier les produits les plus achetés par les utilisateurs principaux d'un site de commerce électronique :

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Pour identifier les 4 ID de processus de système d'exploitation avec les sommes les plus élevées :

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Pour afficher tous les journaux de la cible avec le plus de journaux dont la gravité est Fatal :

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Vous pouvez utiliser les fonctions suivantes dans vos requêtes de recherche :

Exemples supplémentaires pour anyof() et allof() :

• Correspond aux journaux dont l'un des mots suivants est adm, logoff ou user :

  anyof(adm, logoff, user)

• Correspond aux journaux dont tous les mots sont adm, logoff ou user :

  allof(adm, logoff, user)

• Correspond aux journaux qui n'ont aucun des mots oracle ou active et qui ont la valeur non NULL pour le champ severity.

  severity != null not anyof(oracle, active)

• Correspond aux journaux qui n'ont PAS les deux mots oracle ou active et qui ont une valeur non NULL pour le champ severity.

  severity != null not allof(oracle, active)

• Renvoie les valeurs de gravité qui commencent par d ou par f :

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Renvoie les valeurs de gravité qui commencent par f et sont not fatal :

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Exemples supplémentaires pour allfields() amd anyfields() :

• Renvoie les journaux dans lesquels tous les champs commençant par la chaîne tar (par exemple, Target, Target Guid, Target Type) ne sont pas NULL :

  allfields(tar*) != null

• allfields est la fonction par défaut et la requête ci-dessus peut être écrite en bref comme suit :

  'tar*' != null

• Renvoie les journaux dans lesquels l'un des champs commençant par tar est NULL :

  
  anyFields(tar*) = null

• Correspond aux journaux avec tous les champs numériques se terminant par length (par exemple : Longueur de paquet, Longueur de paquet, Longueur de paquet UDP) ayant la valeur 2 :

  allFields(*length) = 2

• Correspond aux journaux dont l'un des champs numériques se termine par length et dont la valeur est 2 :

  anyFields(*length) = 2