Übung: Verschiedene Arten von KQL-Abfragen

Azure Data Explorer bietet einen Hilfecluster mit verschiedenen Datentypen, die im Voraus geladen werden. Auf diesen Cluster kann über die Webbenutzeroberfläche von Azure Data Explorer zugegriffen werden.

Die folgenden Schritte zeigen, wie Sie eine Abfrage erstellen, indem Sie Operatoren auf ein tabellarisches Ausgangsdataset anwenden. Jede Abfrage besteht aus tabellarischen Ausdrucksanweisungen, von denen einige Operatoren enthalten. Operatoren nehmen eine tabellarische Eingabe an, führen einen Vorgang aus und generieren eine neue tabellarische Ausgabe.

1. Beginnen Sie mit einem tabellarischen Dataset.

   Abfrage ausführen

   StormEvents
   

   Ausgabe: Das vollständige tabellarische Dataset aus der StormEvents-Tabelle.

2. Wenden Sie mit dem where-Operator einen Filter an, um bestimmte Ereignisse auszuwählen, z. B. Hochwasser-Ereignisse. Der where-Operator filtert das tabellarische Dataset und behält die tabellarische Struktur bei.

   Abfrage ausführen

   StormEvents
   | where State == "FLORIDA"
   

   Ausgabe: Ein Tabellendatensatz mit StormEvents-Datensätzen im Staat FLORIDA.

3. Verwenden Sie einen anderen Operator, um die tabellarische Ausgabe weiter zu bearbeiten.

   Abfrage ausführen

   StormEvents
   | where State == "FLORIDA"
   | sort by InjuriesDirect desc
   

   Ausgabe: Ein Tabellendatensatz mit StormEvents-Datensätzen in FLORIDA, die basierend auf der Spalte InjuriesDirect in absteigender Reihenfolge sortiert sind.

Sowohl Microsoft Sentinel als auch Log Analytics in Azure Monitor verwenden die Demo-Umgebung, auf die Sie über die Suche nach und die Auswahl von Protokollen im Azure-Portal zugreifen können.

Die folgenden Schritte zeigen, wie Sie eine Abfrage erstellen, indem Sie Operatoren auf ein tabellarisches Ausgangsdataset anwenden. Jede Abfrage besteht aus tabellarischen Ausdrucksanweisungen, von denen einige Operatoren enthalten. Operatoren nehmen eine tabellarische Eingabe an, führen einen Vorgang aus und generieren eine neue tabellarische Ausgabe.

1. Beginnen Sie mit einem tabellarischen Dataset.

   Abfrage ausführen

   LAQueryLogs
   

   Ausgabe: Das vollständige tabellarische Dataset aus der LAQueryLogs-Tabelle.

2. Wenden Sie mithilfe des where-Operators einen Filter an, um bestimmte Ereignisse auszuwählen. Der where-Operator filtert das tabellarische Dataset und behält die tabellarische Struktur bei.

   Abfrage ausführen

   LAQueryLogs
   | where ResponseCode != 200
   

   Ausgabe: Ein Tabellendatensatz mit LAQueryLogs-Datensätzen, deren Antwortcode nicht 200 ist.

3. Verwenden Sie einen anderen Operator, um die tabellarische Ausgabe weiter zu bearbeiten.

   Abfrage ausführen

   LAQueryLogs
   | where ResponseCode != 200
   | sort by ResponseDurationMs desc
   

   Ausgabe: Ein Tabellendatensatz mit LAQueryLogs-Datensätzen, deren Antwortcode nicht 200 ist, die basierend auf ResponseDurationMs in absteigender Reihenfolge sortiert sind.

Sie können auf den Azure Resource Graph-Explorer zugreifen, indem Sie im Azure-Portal nach Resource Graph-Explorer suchen und diesen auswählen.

Die folgenden Schritte zeigen, wie Sie eine Abfrage erstellen, indem Sie Operatoren auf ein tabellarisches Ausgangsdataset anwenden. Jede Abfrage besteht aus tabellarischen Ausdrucksanweisungen, von denen einige Operatoren enthalten. Operatoren nehmen eine tabellarische Eingabe an, führen einen Vorgang aus und generieren eine neue tabellarische Ausgabe.

1. Beginnen Sie mit einem tabellarischen Dataset.

   resources
   

   Ausgabe: Das vollständige tabellarische Dataset aus der resources-Tabelle.

2. Wenden Sie mithilfe des where-Operators einen Filter an, um bestimmte Ereignisse auszuwählen. Der where-Operator filtert das tabellarische Dataset und behält die tabellarische Struktur bei.

   resources
   | where location == "eastus"
   

   Ausgabe: Ein Tabellendatensatz von resources in der Region eastus.

3. Verwenden Sie einen anderen Operator, um die tabellarische Ausgabe weiter zu bearbeiten.

   resources
   | where location == "eastus"
   | distinct subscriptionId
   

   Ausgabe: Ein Tabellendatendsatz von Abonnement-IDs mit resources in der Region eastus.

In der folgenden Abfrage sind state und injuryThreshold Variablen, denen gemäß Ihren spezifischen Anforderungen Werte zugewiesen werden können. Diese Variablen werden dann innerhalb der Abfrage verwendet, um die StormEvents-Tabelle basierend auf den definierten Kriterien zu filtern.

let state = "TEXAS";
let injuryThreshold = 10;
StormEvents
| where State == state and InjuriesDirect + InjuriesIndirect > injuryThreshold

In der folgenden Abfrage ist responseCodes eine Variable vom Typ „dynamisches Array“, die Antwortcodes enthält. Die Variable wird dann innerhalb der Abfrage verwendet, um die LAQueryLogs-Tabelle nach Protokollen mit diesen Antwortcodes zu filtern.

let responseCodes=dynamic([400, 499]);
LAQueryLogs
| where ResponseCode in (responseCodes)
| sort by ResponseDurationMs desc

Let-Anweisungen werden in Azure Resource Graph nicht unterstützt.