Pesquisa de Consulta

O Oracle Log Analytics permite que você selecione e execute uma pesquisa usada recentemente. Quando você clica no campoPesquisar ou digita texto no campoPesquisar, o Oracle Log Analytics exibe uma lista de pesquisas usadas recentemente. Isso permite acessar rapidamente comandos de pesquisa usados recentemente. Você pode selecionar qualquer um dos comandos listados e clicar em Executar para executar o comando de pesquisa selecionado.

A interface do usuário do Oracle Log Analytics permite que você formule sua consulta de Pesquisa.

Você pode usar os seguintes elementos da interface de usuário para formular sua consulta de Pesquisa:

• Barra de pesquisa: Sua consulta de pesquisa é exibida aqui. Você pode editar diretamente o texto nesse campo para refinar ainda mais os resultados da pesquisa.

  A barra de pesquisa cresce ou diminui com base no número de linhas adicionadas à consulta. Ela pode ter no máximo 21 linhas e no mínimo 1 linha. Alguns dos atalhos personalizados disponíveis são:

  • Ctrl + i: Recuar cada linha de texto presente no editor. Observe que a letra maiúscula I abre o depurador.
  • Ctrl + Enter: Executar a consulta exibida no editor
  • Ctrl + Space: Exibe a lista de preenchimento automático de opções com base na posição do cursor
  • Ctrl + Z: Desfazer a última edição
  • Ctrl + Y: Refazer a última edição
  • Ctrl + D: Excluir a linha atual

  Observação: Não use a tecla SHIFT, a menos que seja especificada.

  Posicione o cursor nos colchetes de abertura ou de fechamento para exibir o elemento correspondente destacado. Os elementos que podem ser destacados são ( ) e [ ].

  A barra de pesquisa suporta dois temas diferentes, cor e escala de cinza. Você pode alterar os temas dinamicamente alterando a opção na pop-up de ajuda.

• Campo: O painel Campo é dividido nas seguintes seções:

  • Os atributos Fixados permitem filtrar dados de log com base em:

    • Origens de log, como logs de banco de dados, logs do Oracle WebLogic Server e assim por diante.

    • Entidades de log, que são os nomes de arquivo de log reais.

    • Labels, que são tags adicionadas às entradas do log quando as entradas do log correspondem a condições definidas específicas.

    • Faça upload de nomes de dados de log carregados sob demanda.

    Por padrão, as entidades e os detalhes da coleção estão disponíveis no bucket Fixado do painel Campos para filtragem. Você pode fixar campos adicionais no bucket Fixado, dependendo do seu uso. Depois de fixados, os campos são movidos para o bucket Fixado. Você pode desafixar qualquer campo e removê-lo do bucket Fixado e movê-lo de volta para o bucket de Interesse ou Outros.

  • Com base em sua pesquisa e consultas, o Oracle Log Analytics adiciona automaticamente campos ao bucket de Interesse para sua referência rápida. Você pode fixar um campo disponível no bucket de Interesse. O campo fixado é movido para o bucket Fixado.

  • Você pode fixar qualquer campo no bucket Outro e movê-lo para o bucket Fixado. Se você usar um campo do bucket Outros em sua pesquisa ou consulta, ele será movido para o bucket de Interesse.

    As opções selecionadas são adicionadas automaticamente à consulta na barra Pesquisar.

• Visualizar: Nesse painel, você pode selecionar como prefere exibir os resultados da pesquisa. No campo Agrupar por, você pode decidir por quais métricas agrupar os resultados.

• Salvar: Use esse botão para salvar a consulta de pesquisa que está atualmente no campo Pesquisar para ser executada posteriormente.

• Abrir: Use esse botão para exibir consultas de pesquisa salvas anteriormente. Você pode executar essas consultas e obter os resultados atuais ou usá-las para criar painéis de controle.

• Novo: Use esse botão para iniciar uma nova consulta de pesquisa.

• Exportar: Use esse botão para exportar o resultado da consulta de pesquisa atual em um arquivo no formato Comma-seperated Values (CSV) ou JavaScript Object Notation (JSON).

• Executar: Use esse botão para executar a consulta que está atualmente no campo Pesquisar.

• Seletor de Horário: Use o Seletor de Horário para especificar o período.

• Painel de Visualização: Os resultados da consulta de pesquisa são exibidos nesse painel. As informações filtradas nesse painel são carregadas quando a consulta no campo Pesquisar é executada. Clicando em qualquer área do gráfico no painel de visualização, você pode fazer drill-down na consulta de pesquisa e atualizá-la.

As consultas de string podem incluir palavras-chave e frases. Uma palavra-chave é uma única palavra (por exemplo, database), enquanto uma frase se refere a várias palavras, entre aspas simples (‘ ‘) ou duplas (“ “) (por exemplo, ‘database connection’). Se você especificar uma palavra-chave ou uma frase em sua consulta, todas as entradas de log contendo a palavra-chave ou frase especificada serão retornadas após a execução da consulta.

A língua de pesquisa do Oracle Log Analytics também suporta o mapeamento de padrão especial. Em outras palavras, você pode usar caracteres curinga, como asterisco (*), ponto de interrogação (?) e porcentagem (%), para completar palavras-chave.

A tabela a seguir lista os caracteres curinga suportados e fornece uma breve descrição de cada um.

Você pode especificar várias palavras-chave. Por exemplo, database e connection. Os logs que contêm as palavras database e connection (mas não necessariamente juntos) são retornados. No entanto, essas palavras não precisam necessariamente ocorrer de forma consecutiva. No entanto, ao colocar as palavras entre aspas e incluí-las na string de consulta como frase (‘database connection’, por exemplo), somente os logs que contiverem a frase ‘database connection’ serão retornados. Para saber como usar várias palavras-chave, consulte Usar Expressões Boolianas.

Ao especificar uma palavra-chave ou frase, lembre-se do seguinte:

• Palavras-chave e strings de frase não diferenciam maiúsculas de minúsculas.

• As palavras-chave que não estão entre aspas devem conter somente caracteres alfanuméricos, sublinhado (_) e caracteres curinga (*, % e ?).

• As pesquisas de palavra-chave em que a substring poderia ser interpretada como diretiva distinta devem ser específicas entre aspas. Por exemplo, para procurar a string and, digite-a entre aspas simples (‘and’) para impedir que o sistema selecione seu significado booliano.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Os operadores de comparação são condições que você especifica para estabelecer um relacionamento entre um campo e seu valor. Os campos sem valores são considerados nulos.

A tabela a seguir lista os operadores de comparação suportados e fornece uma breve descrição de cada um.

Use esses operadores para localizar logs com campos que tenham valores específicos. Por exemplo, especifique Severity=’ERROR’ para pesquisar pelos logs disponíveis nos quais o valor do campo Severity é ERROR. Da mesma forma, Severity!=NULL retorna todos os logs em que o valor do campo Severity não é nulo (em outras palavras, em que a severidade foi especificada).

O recurso Oracle Log Analytics Search tem os recursos LIKE e REGEX, de acordo com as convenções padrão. As Expressões Boolianas podem ter um valor true ou false.

A tabela a seguir lista as Expressões Boolianas suportadas, com uma breve descrição de cada uma.

A linguagem Oracle Log Analytics Search suporta o aninhamento de expressões booleanas em outras expressões booleanas. Por exemplo, considere a seguinte consulta:

fatal ('order' OR host LIKE '*.oracle.com')

A execução dessa consulta retorna todos os logs que contêm fatal e contêm a palavra-chave order ou originada de um host cujo nome termina com .oracle.com.

Você pode usar a interface do usuário do Oracle Log Analytics para formular a sua consulta de Pesquisa.

Por padrão, a consulta * | stats count by ‘log source’ é especificada no campo Pesquisar.

Normalmente, o intervalo de tempo selecionado no Log Explorer não é incluído na string de consulta. Você pode especificar o intervalo de tempo em sua consulta usando o modificador tempo absoluto ou tempo relativo no comando search.

Alguns exemplos nos quais um intervalo de tempo pode ser especificado na consulta:

• Retorna todos os logs de erro ORA-600 descobertos nas últimas 24 horas:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Retorna a contagem de logs do destino do host myHost nos últimos 90 dias:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

'Upload Name' = idcs_dev8_dormant_upload and 'Last Login Date' < now()

time between daterelative(1d) and now()

time between '2015-06-15T00:00:00.000Z' and now()

As subconsultas permitem que a consulta filha forneça um filtro dinâmico para as consultas mães. As subconsultas são avaliadas primeiro e depois o resultado é usado na consulta mãe.

• Você pode aninhar subconsultas entre si e uma consulta específica com várias subconsultas no mesmo nível.
• As subconsultas por padrão herdam a faixa de tempo global, mas você poderá substituí-la usando a sintaxe time between T1 and T2, se necessário.
• As subconsultas estão restritas a retornar para sua mãe apenas as primeiras 2.000 correspondências como entrada. Os outros resultados são truncados.
• Elas têm um timeout máximo de 30 segundos para serem concluídas.
• Todos os campos retornados por uma subconsulta devem corresponder aos campos da consulta mãe por nome. Caso contrário, resultará em um erro.
• Só é possível usar subconsultas dentro de um comando de pesquisa.
• Você pode usar todos os comandos em uma subconsulta, exceto cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight e highlightrows.

Exemplos:

• Projetar o tráfego da lista de bloqueio de IP ao longo do tempo:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Listar os produtos mais comprados dos principais usuários de um site de e-commerce:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Localizar os 4 Principais IDs de Processo do Sistema Operacional com a soma mais alta:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Mostrar todos os logs do destino com a maioria dos logs de severidade fatal:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]

Você pode usar as seguintes funções em suas consultas de pesquisa:

Mais exemplos para anyof() e allof():

• Corresponde aos logs que têm qualquer uma destas palavras adm, logoff ou user:

  anyof(adm, logoff, user)

• Corresponde aos logs que têm todas estas palavras adm, logoff ou user:

  allof(adm, logoff, user)

• Corresponde aos logs que NÃO têm uma das palavras oracle ou active e têm o valor não nulo para o campo severidade.

  severity != null not anyof(oracle, active)

• Corresponde aos logs que NÃO têm as duas palavras oracle ou active e têm um valor não nulo para o campo severidade.

  severity != null not allof(oracle, active)

• Retorna os valores de severidade que começam com d ou começam com f:

  * | distinct Severity | where anyof(substr(severity, 0, 1) = d, substr(severity, 0, 1) = f)

• Retorna os valores de severidade que começam com f e são not fatal:

  * | distinct Severity | where allof(severity != fatal, substr(severity, 0, 1) = f)

Mais exemplos para allfields() e anyfields():

• Retorna logs nos quais todos os campos que começam com a string tar (por exemplo: Destino, Guid de Destino, Tipo de Destino) não são nulos:

  allfields(tar*) != null

• allfields é a função padrão e a consulta acima pode ser gravada em poucas palavras da seguinte forma:

  'tar*' != null

• Retorna logs nos quais qualquer um dos campos que começam com tar é nulo:

  
  anyFields(tar*) = null

• Corresponde logs a todos os campos numéricos que terminam com length (por exemplo: Tamanho do Pacote, Comprimento, Comprimento do Pacote UDP) com o valor 2:

  allFields(*length) = 2

• Corresponde aos logs com qualquer um dos campos numéricos que terminam com length com um valor 2:

  anyFields(*length) = 2

No Oracle Log Analytics, as variáveis de consulta são ferramentas avançadas que aumentam a flexibilidade e a eficiência de suas consultas de log. Eles atuam como placeholders dentro das consultas, permitindo definir valores que podem ser reutilizados durante toda a consulta. Essa abordagem simplifica o gerenciamento de consultas e melhora a legibilidade.

Tópicos:

• Sintaxe da Variável de Consulta

• Propriedades da Variável de Consulta

• Propriedades da Consulta

• Avaliação Variável

var $<name> { <value> }

var $<name> { <keyName>:<keyValue>, <keyName>:<keyValue> }

var $byField { 'Log Source' } * | stats count by $byField

* | stats count by 'Log Source'

...
    "variables": [
        {
            "name": "$byField"
        }
    ]

var $args { { byField : 'Log Source', limit : 4 } } * | stats count by $args[byField] | top $args[limit] Count

* | stats count by 'Log Source' | top 4 Count

...
    "variables": [
        {
            "name": "$args",
            "mapKeys": [
                {
                    "name": "$args[byField]",
                },
                {
                    "name": "$args[limit]",
                }
            ]
        }

var $byField { @description The field to group by; @defaultValue 'Log Source'; @otherDetails This can be overwritten; } * | stats count by
      $byField

* | stats count by 'Log Source'

...
    "variables": [
        {
            "name": "$byField",
            "description": "The field to group by",
            "defaultValue": "'Log Source'",
            "properties": [
                {
                    "name": "otherDetails",
                    "value": "This can be overwritten"
                }
            ]
        }
    ]

var $args { { @description Field to group by; byField : 'Log Source', @description Number to return; limit : 4 } } * | stats count by $args[byField] | top $args[limit] Count

* | stats count by 'Log Source' | top 4 Count

...
    "variables": [
        {
            "name": "$args",
            "mapKeys": [
                {
                    "name": "$args[byField]",
                    "description": "Field to group by"
                },
                {
                    "name": "$args[limit]",
                    "description": "Number to return"
                }
            ]
        }
    ]

@description This query will group the logs based on the passed in field;

@description(delimiter=''')
'''
This query will group the logs
To change the byField, just update the variable
'''

var $byField { Target } var $limit { if($byField = 'Target Type', 5, 10) } * | stats count by $byField | head $limit

* | stats count by Target | head 10

var $byFields { @raw true; Target, 'Target Type' } * | stats count by $byValues

* | stats count by Target, 'Target Type'