ラボ 2 - シンプルな parse、グループ化、フィルタ

検索結果を parse してグループ化するための基本的な operator について学習します。

1. CloudTrail ログを検索して、米国西部リージョンの上位 10 個の IP アドレスを特定します。

_sourceCategory=Labs/AWS/CloudTrail

// JSON 形式のログに json operator を使用できます。where を使用して us-west-1 リージョンで絞り込みます。

| json "awsRegion"

| where awsregion="us-west-1"

// 同じクエリで parse operator を組み合わせて使用できます。count で IP アドレスをグループ化します。 

| parse regex "(?<ip_address>\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"

| count by ip_address

| top 10 ip_address by _count

2. 利用できるグラフ オプションを選択することで、結果をグラフとしてプロットできます。円グラフ アイコンをクリックして、円グラフを選択しました。

3. 上記の詳細を表示するには、縮小するか、[Add to Dashboard (ダッシュボードに追加)] のすぐ上にあるグレーの矢印をクリックします。