ラボ 2 - シンプルな parse、グループ化、フィルタ
検索結果を parse してグループ化するための基本的な operator について学習します。
検索結果を parse してグループ化するための基本的な operator について学習します。
-
CloudTrail ログを検索して、米国西部リージョンの上位 10 個の IP アドレスを特定します。
_sourceCategory=Labs/AWS/CloudTrail
// JSON 形式のログに json operator を使用できます。where を使用して us-west-1 リージョンで絞り込みます。
| json "awsRegion"
| where awsregion="us-west-1"
// 同じクエリで parse operator を組み合わせて使用できます。count で IP アドレスをグループ化します。
| parse regex "(?<ip_address>\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"
| count by ip_address
| top 10 ip_address by _count
- 利用できるグラフ オプションを選択することで、結果をグラフとしてプロットできます。円グラフ アイコンをクリックして、円グラフを選択しました。
- 上記の詳細を表示するには、縮小するか、[Add to Dashboard (ダッシュボードに追加)] のすぐ上にあるグレーの矢印をクリックします。