IKuznetsov: Новая страница: « = Управление результатами = Ниже описано, как извлекать информацию из ответа на запрос '''DQL''' структурированным и удобным способом. == Перенос строк == Вы можете просматривать длинные строки логов без горизонтальной прокрутки с помощью опции '''Включить...»

2026-09-24T18:48:02Z

Новая страница: « = Управление результатами = Ниже описано, как извлекать информацию из ответа на запрос '''DQL''' структурированным и удобным способом. == Перенос строк == Вы можете просматривать длинные строки логов без горизонтальной прокрутки с помощью опции '''Включить...»

Новая страница

= Управление результатами =
Ниже описано, как извлекать информацию из ответа на запрос '''DQL''' структурированным и удобным способом.

== Перенос строк ==
Вы можете просматривать длинные строки логов без горизонтальной прокрутки с помощью опции '''Включить перенос строк'''. Это действие можно выполнить из меню таблицы результатов запроса без выполнения запроса.

# В меню таблицы результатов запроса выберите заголовок столбца для интересующего вас поля.
# Выберите '''Включить перенос строк'''.

Чтобы отменить это действие, выберите '''Отключить перенос строк'''.

== Просмотр многострочных логов ==
Для лучшего понимания данных вы можете просматривать многострочные логи, такие как трассировки стека, с их разрывами строк и табуляцией в исходной форме с помощью опции '''Включить многострочный режим'''. Это действие можно выполнить из таблицы результатов запроса без выполнения запроса.

# В меню таблицы результатов запроса выберите заголовок столбца для интересующего вас поля.
# Выберите '''Включить многострочный режим'''.

Чтобы отменить это действие, выберите '''Отключить многострочный режим'''.

== Просмотр метаданных запроса ==
После выполнения запроса вы можете просмотреть метаданные запроса, выбрав значок информации под полем ввода запроса.

== Улучшение запросов ==
Вы можете группировать и агрегировать записи с одинаковым значением для заданного поля с помощью опции '''Суммировать''', доступной из меню заголовка результатов запроса или из окна сведений о записи. Выбор этой опции изменяет текущий запрос и добавляет команду <code>summarize</code> в поле ввода запроса.

== Изучение данных в исходном формате ==

* С помощью опции '''Просмотреть сведения о поле''' вы можете изучить данные в исходном формате, независимо от содержимого, и без горизонтальной прокрутки, даже если они содержат непечатаемые символы, такие как табуляции, множественные пробелы или разрывы строк. '''Расследования''' распознают и форматируют популярные структуры данных, такие как '''JSON''', что упрощает чтение в представлении сведений о поле.
* С помощью опции '''Просмотреть сведения о записи''' вы можете отобразить одну выбранную запись в сводном виде. Все поля отображаются вертикально, что экономит время на горизонтальной прокрутке и обеспечивает более быстрый доступ к данным.

'''Как просмотреть сведения'''

# В таблице результатов запроса щёлкните правой кнопкой мыши по полю и выберите '''Просмотреть сведения о поле''' или '''Просмотреть сведения о записи'''.
#* Чтобы просмотреть сведения о записи, вы также можете дважды щёлкнуть по любой записи в таблице результатов запроса.
#* Вы можете использовать клавиши со стрелками (или стрелки в окне сведений о записи) для перемещения между записями: вам не нужно закрывать окно, чтобы открыть следующую запись; просто используйте клавиатуру.

Выбор одной из этих опций открывает окно сведений о поле или записи. Оттуда ваше расследование поддерживается дополнительными опциями, такими как фильтрация, извлечение полей, открытие в других приложениях, добавление доказательств и добавление полей.

== Обогащение IP-адресов ==
Чтобы ускорить поиск угроз и реагирование на инциденты, '''Расследования''' позволяют обогащать IP-адреса данными о внешней репутации из доверенных сторонних источников данных об угрозах.

Перед началом настройте подключение обогащения (например, '''AbuseIPDB''', '''VirusTotal''' или любой пользовательский '''HTTP'''-'''API''' данных об угрозах).

После настройки вы можете:

* Вручную обогащать отдельные IP-адреса.
* Включить автоматическое обогащение для записей списка доказательств.

=== Ручное обогащение ===
Вы можете вручную обогащать IP-адреса непосредственно из результатов расследования.

# Щёлкните правой кнопкой мыши по любому IP-адресу в таблице результатов.
# Выберите '''Обогатить IP'''.
# Выберите настроенный источник обогащения (например, '''AbuseIPDB''' или '''VirusTotal''').

Сохранение обогащённого IP-адреса в список доказательств сохраняет его данные обогащения для согласованного доступа на протяжении всего расследования. Чтобы вернуться к сведениям, выберите значок сведений рядом с обогащённым IP-адресом.

Ручное обогащение идеально подходит при проверке конкретных индикаторов компрометации ('''IoC''') или подтверждении подозрительной активности.

=== Автоматическое обогащение ===
Чтобы оптимизировать рабочий процесс, вы можете включить автоматическое обогащение для ваших списков доказательств.

# В разделе '''Списки доказательств''' переключите '''Автоматическое обогащение''' в положение '''Вкл''' для любого элемента в целевом списке.
# Выберите подключение обогащения, которое хотите применить.

Эта конфигурация применяется ко всему списку доказательств. Каждый добавляемый IP-адрес будет автоматически обогащаться с использованием выбранного источника.

Новые IP-адреса, добавленные в список доказательств, обогащаются автоматически с использованием выбранного источника. Каждый обогащённый IP-адрес включает значок сведений для быстрого доступа к его данным о репутации — без переключения между инструментами.

Автоматически обогащённые IP-адреса помечаются тегами и сохраняются вместе с вашим расследованием, что позволяет быстрее выполнять сортировку и корреляцию.

== Создание и использование таблиц поиска ==
Вы можете определять таблицы поиска из результатов запросов или путём загрузки файлов. Таблицы поиска хранятся в хранилище и могут повторно использоваться в расследованиях для обогащения запросов контекстными данными.

=== Определение из результатов запроса ===
Чтобы сохранить результаты расследования в виде таблицы поиска:

# В результатах '''DQL''' щёлкните правой кнопкой мыши по relevant записям и выберите '''Создать таблицу поиска''' в контекстном меню.
# В открывшемся мастере:
#* Выберите столбцы для включения в таблицу поиска.
#* Определите поле поиска и путь к таблице.
#* ''Необязательно'': добавьте отображаемое имя и описание, чтобы помочь идентифицировать таблицу.
#* Выберите '''Создать''', чтобы сохранить таблицу в хранилище.

=== Определение путём загрузки файла ===
Чтобы загрузить внешние справочные данные:

# На левой панели открытого расследования перейдите на вкладку '''Хранилище''' и выберите '''Новая таблица поиска'''.
# В открывшемся мастере:
#* Выберите файл с вашего диска.
#* Определите шаблон '''DPL''' для создания столбцов таблицы поиска.
#* Укажите поле поиска и путь к таблице.
#* ''Необязательно'': добавьте отображаемое имя и описание, чтобы помочь идентифицировать таблицу.
#* Выберите '''Создать''', чтобы сохранить таблицу в хранилище.

=== Использование и управление таблицами поиска ===
После сохранения таблицы поиска появляются на вкладке '''Хранилище''' на левой панели '''Расследований'''.

'''Чтобы использовать таблицу или управлять ею'''

# Выберите таблицу.
# Выберите действие в меню:
#* '''Загрузить''': открыть таблицу в новом узле запроса с помощью команды <code>load</code>.
#* '''Добавить''': добавить таблицу в текущий запрос.
#* '''Поиск''': добавить команду <code>lookup</code> в текущий запрос.
#* '''Объединить''': добавить команду <code>join</code> в текущий запрос.
#* '''Удалить''': удалить таблицу из хранилища.

Дополнительную информацию о том, как работают данные поиска в хранилище, см. в разделе «Данные поиска».

== Сводные результаты ==
С помощью функции сводных результатов запроса вы можете мгновенно перемещаться и анализировать взаимосвязанные данные из любой записи на основе доступных измерений. Это позволяет сэкономить время на ручном создании запросов и ускорить расследование.

Например, вы начинаете с запроса для просмотра ошибок из нескольких облачных приложений и переключаетесь на конкретный под, из которого возникла определённая ошибка, чтобы получить больше контекста. Этот подход даёт представление о связях между событиями и помогает выявить скрытые закономерности и аномалии, которые могут указывать на проблемы производительности, операционные нарушения или угрозы безопасности.

'''Чтобы начать переключение'''

# В таблице результатов запроса щёлкните правой кнопкой мыши по записи.
# Перейдите в '''Сводные результаты по''' и выберите одно из доступных измерений.

Это создаёт узел запроса, который извлекает логи для конкретной сущности в диапазоне +/- пять минут от исходной записи лога.

Узел, из которого было запущено переключение, остаётся неизменным.

* ''Необязательно'': чтобы изменить временной диапазон переключения, в меню '''Сводные результаты по''' выберите '''Настроить > Временной диапазон переключения'''.
** Вы можете изменить временной диапазон переключения в любой момент расследования из меню настроек в правом верхнем углу страницы.
* ''Необязательно'': чтобы добавить пользовательские измерения для переключения, в меню '''Сводные результаты по''' выберите '''Настроить > Пользовательские измерения переключения'''.
** Доступные измерения извлекаются из хранилища. Вы можете выбрать не более восьми измерений.

== Выбор всего столбца ==
'''Чтобы выбрать все значения в столбце'''

# В меню таблицы результатов запроса выберите заголовок столбца для интересующего вас поля.
# Выберите '''Выбрать столбец'''.

== Копирование результатов в различных форматах ==
Для более быстрого доступа к данным в результатах опция '''Копировать''' в меню таблицы результатов запроса позволяет копировать выбранные результаты в различных форматах в соответствии с вашими потребностями.

# В таблице результатов запроса выберите то, что хотите скопировать (частичное или полное значение поля, несколько полей или столбцов).
# Выберите '''Копировать''', затем выберите один из доступных вариантов формата.
#* Наведите курсор на доступные опции, чтобы отобразить предварительный просмотр вывода перед выбором.

== Корреляция логов с метриками производительности ==
Чтобы быстрее оценить влияние инцидента и точнее выявить первопричины, вы можете легко коррелировать записи логов с метриками производительности. Это обеспечивает более быструю диагностику, улучшенную видимость и более проактивное решение.

'''Чтобы просмотреть и коррелировать метрики производительности с вашими данными логов'''

# Щёлкните правой кнопкой мыши по любой записи лога в таблице результатов, чтобы получить доступ к доступным ключам метрик на основе метаданных.
# Выберите '''Просмотреть метрики производительности''', затем выберите нужную метрику (например, использование '''CPU''' или памяти).

Это отображает график метрики на правой панели рядом с разделом '''Доказательства'''.

=== Поведение графика и осведомлённость о контексте ===

* Красная вертикальная линия отмечает метку времени выбранной записи лога, помогая коррелировать колебания метрик с конкретными событиями. Красная линия не отображается, если выбранная метка времени выходит за пределы временного диапазона графика.
* При переходе к другим записям логов или узлам запросов график обновляется динамически, поддерживая контекст на протяжении всего расследования.
* График остаётся видимым и согласованным на протяжении всего расследования — даже при переключении между узлами запросов — пока выбранная запись лога содержит метку времени в пределах определённого временного диапазона.

=== Логика временного диапазона ===

* График отображает данные метрик в окне +/- 15 минут вокруг метки времени записи лога.
* Если в записи лога нет доступной метки времени, для генерации графика метрик используется временной диапазон анализа запроса.
* Вы можете вручную переопределить временной диапазон в соответствии с вашим расследованием.

=== Измерения сущностей и типы метрик ===

* Измерение метрики по умолчанию — <code>dt.source_entity</code>. Если оно отсутствует, используются другие поля сущностей, такие как container, pod и host.
* Если сущность недоступна, меню '''Метрики производительности''' отключается.
* Вы можете выбирать из доступных измерений в раскрывающихся меню и переключаться между метриками, такими как '''CPU''', память, сеть или нагрузка.

== Визуализация с помощью графиков ==
После выполнения запроса, если результаты можно визуализировать в виде графика, рядом с '''Результатами''' становится доступна опция '''График'''.

'''Примеры графиков:'''

* '''Линейные графики'''
** Запуск временного ряда или использование команды <code>makeTimeseries</code> мгновенно отображает линейный график с полученными данными.
* '''Столбчатые графики'''
* '''Круговые диаграммы'''

Вы можете настроить отображение графиков в разделе '''График > Параметры'''.

Управление результатами - История изменений

IKuznetsov: /* Управление результатами */