全般的な検索例のクイック ガイド
このクイック ガイドの例では、必要に応じて以下のような Apache ログ メッセージを使用します。
10.154.181.28 - - [24/Jan/2012:12:34:58 -0700] "GET /Courses/Topics/54.htm HTTP/1.1" 200 9951 "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/535.7 (KHTML, like Gecko) Chrome/16.0.912.75 Safari/535.7" Host: raw_hosted_apps Name: /usr/sumo/collector-16.1-5/logs/reporter.log Category: apache
キーワード式
使用例 | Sumo Logic クエリの例 |
su または sudo で root 権限の使用に失敗した場合を検索する。 | ( su OR sudo ) AND (fail* OR error) |
sshd ログのエラーを検索する。 | sshd AND (fail* OR error OR allowed OR identity) |
ルータ メッセージを除いて、一般的な承認失敗を検索する。 | auth* AND (fail* OR error?) NOT _sourceCategory=routers |
詳細については、「キーワード検索式」を参照してください。
Parse、Count、および Top operator
使用例 | Sumo Logic クエリの例 |
"from" および "to" フィールドを抽出する。たとえば、未処理のイベントに "From: Jane To: John" が含まれている場合は、from=Jane および to=John になります。 | * | parse "From: * To: *" as (from, to) |
IP アドレスの 4 つのオクテット対応する正規表現を使用して、Source IP アドレスを抽出する。 | *| parse regex "(?<src_ip>\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})" |
アクセスされたすべての URL アドレスを特定し、"url" フィールドとして抽出する。 | _sourceCategory=apache |
Source Category "apache" のトラフィックを特定して、Source アドレス、メッセージ サイズ、およびアクセスされた URL を抽出する。 | _sourceCategory=apache |
Source Category "apache" について、各 Source IP アドレスへ送信されるバイト数の合計を計算する。 | _sourceCategory=apache |
Source Category "apache" について、すべての正常な HTTP 応答の平均サイズを計算する。 | _sourceCategory=apache |
Source Category "apache" について、ログ メッセージにサイズ フィールドが欠落していても、Source、サイズ、および URL を抽出する (nodrop)。 | _sourceCategory=apache |
URL へのアクセス回数を特定する。 | _sourceCategory=apache |
Source IP アドレスごとのページの合計数を特定する。 | _sourceCategory=apache |
Source IP アドレスごとのページの合計数を特定して、ロード頻度の高いページ順に並び替える。 | _sourceCategory=apache |
リクエストされた上位 10 ページを特定する。 | * | parse "GET * " as url |
帯域幅使用率の上位 10 Source IP アドレスを特定する。 | _sourceCategory=apache |
ヒット数の上位 100 Source IP アドレスを特定する。 | _sourceCategory=apache |
詳細については、「Parse」、「Count」、および「Top」を参照してください。
Timeslice と Transpose
使用例 | Sumo Logic クエリの例 |
Source Category "apache" について、ステータス コードおよびタイムスライス 1 時間ごとに集計する。 | _sourceCategory=apache* |
Source Category "apache" について、ステータス コードおよびタイムスライス 1 時間ごとに集計して、ステータス コードを列に転置する。 | _sourceCategory=apache* |
Source Category "apache" について、ステータス コードごとに、タイムスライスは検索結果を 5 バケットにして集計する。 | _sourceCategory=apache* |
Source Category "Apache/Access" について、ステータス コード カテゴリごとにメッセージを集計して、200 番台、300 番台、400 番台、および 500 番台すべてを 1 つにまとめる。 |
または以下のクエリを使用できます。 |
詳細については、「Timeslice」と「Transpose」を参照してください。
conditional operator
使用例 | Sumo Logic クエリの例 |
Source Category "apache" について、クライアント エラー ステータス コードが 400 番台のメッセージをすべて検索する。 | _sourceCategory=apache* |
Source Category "apache" について、ブラウザごとのヒット数を集計する。 | _sourceCategory=Apache/Acces |
where operator を使用して週末日のみ特定する。 | * | parse "day=*:" as day_of_week |
パスにサブディレクトリ "Courses" が含まれている URL をすべて特定する。 | *| parse "GET * " as url |
数値 2、3 または 6 を含むバージョン番号を検索する。num operator を使用して文字列を数値に変換します。 | * | parse "Version=*." as number | num(number) |
LogReduce operator
使用例 | Sumo Logic クエリの例 |
Sumo Logic のクラスタ化アルゴリズムを使用して、ご使用の環境のエラー/例外インシデントのパターンを検索する。 | exception* or fail* or error* or fatal* |
詳細については、「LogReduce」を参照してください。
メタデータ フィールドの追加
メタデータ フィールドをキーワード式に追加すると、クエリで詳細を指定できます。メタデータ フィールドには、_sourceCategory
、_sourceHost
、および _sourceName
があります。
[Collection (コレクション)] タブで Source メタデータを編集します。
詳細については、「検索メタデータ」を参照してください。