Ejercicio: Consultas de ejemplo

Completado

En la unidad anterior, hemos examinado la estructura general de una consulta KQL. Ahora vamos a intentar ejecutar algunas consultas de ejemplo.

Acceso a entornos de consulta de demostración

Algunos de los productos que usan KQL ofrecen entornos gratuitos que puede usar para practicar con las consultas. Elija una de las pestañas siguientes que corresponda al entorno de consulta que desea usar.

Azure Data Explorer

Azure Data Explorer ofrece un clúster de ayuda con distintos tipos de datos cargados previamente. Se puede acceder a este clúster mediante la interfaz de usuario web de Azure Data Explorer.

Clúster de ayuda de Azure Data Explorer

Requisitos previos

Este entorno requiere una cuenta de Microsoft o una identidad de usuario de Microsoft Entra.

Ejecución de la consulta de ejemplo

En la consulta siguiente, se responde a la pregunta "¿Cuáles fueron los 10 daños principales a propiedades provocados por inundaciones?"

Ejecución de la consulta

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

Este es un análisis paso a paso de cómo la consulta procesa los datos.

1. La consulta comienza con la tabla StormEvents como entrada tabular.
2. Filtra los registros para los que la columna EventType es exactamente igual a Flood.
3. La lista resultante se ordena en orden descendente en función del valor de la columna DamageProperty.
4. Por último, se devuelven los 10 registros principales.

Azure Monitor/Microsoft Sentinel

Microsoft Sentinel y Log Analytics en Azure Monitor usan el entorno de demostración al que se accede mediante la búsqueda y selección de Registros en Azure Portal.

Entorno de demostración de Log Analytics

Requisitos previos

Este entorno requiere una suscripción de Azure. Cree una cuenta de Azure gratuita.

Ejecución de la consulta de ejemplo

En la consulta siguiente, se responde a la pregunta "¿Cuáles fueron las 10 consultas de registro de duración de respuesta más largas del último día?"

Ejecución de la consulta

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

Este es un análisis paso a paso de cómo la consulta procesa los datos.

1. La consulta comienza con la tabla LAQueryLogs como entrada tabular.
2. Filtra los registros para los que la columna TimeGenerated se encuentra entre hace 24 horas y ahora, es decir, durante el último día.
3. La lista resultante se ordena en orden descendente en función del valor de la columna ResponseDurationMs.
4. Por último, se devuelven los 10 registros principales.

Azure Resource Graph

Para acceder al Explorador de Azure Resource Graph, busque y seleccione Resource Graph Explorer en Azure Portal.

Azure Resource Graph Explorer

Requisitos previos

Este entorno requiere una suscripción de Azure. Cree una cuenta de Azure gratuita.

Ejecución de la consulta de ejemplo

En la consulta siguiente, se responde a la pregunta "¿Cuáles fueron los 10 recursos de almacenamiento que se habilitaron más recientemente?"

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

Este es un análisis paso a paso de cómo la consulta procesa los datos.

1. La consulta comienza con la tabla Resources como entrada tabular.
2. Filtra los registros para los que la columna type contiene el término storage.
3. La lista resultante se ordena de forma descendente según el valor LastEnabledTime en el campo dinámico denominado properties.
4. Por último, se devuelven los 10 registros principales.