Exercice : Exemples de requête

Effectué

Dans l'unité précédente, nous avons examiné la structure générale d'une requête KQL. Essayez à présent d'exécuter quelques exemples de requêtes.

Accéder aux environnements de requête de démo

Certains produits qui utilisent KQL offrent des environnements gratuits que vous pouvez utiliser pour vous exercer avec les requêtes. Choisissez l'un des onglets suivants qui correspond à l'environnement de requête que vous souhaitez utiliser.

Explorateur de données Azure

Azure Data Explorer propose un cluster d’aide avec différents types de données préchargées. Ce cluster est accessible dans l’interface utilisateur web Azure Data Explorer.

Cluster d’aide Azure Data Explorer

Prérequis

Cet environnement nécessite un compte Microsoft ou une identité d’utilisateur Microsoft Entra.

Exécuter l’exemple de requête

La requête suivante répond à la question « Quels sont les 10 principaux dommages matériels causés par les inondations ? »

Exécuter la requête

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

Voici une analyse pas à pas de la façon dont la requête traite les données.

1. La requête commence par la table StormEvents comme entrée tabulaire.
2. Elle filtre les enregistrements pour lesquels la colonne EventType est exactement égale à Flood.
3. La liste résultante est triée dans l'ordre décroissant en fonction de la valeur de la colonne DamageProperty.
4. Enfin, les 10 premiers enregistrements sont renvoyés.

Azure Monitor/Microsoft Sentinel

Microsoft Sentinel et l'analytique des journaux d'activité dans Azure Monitor utilisent tous les deux l'environnement de la version de démonstration auquel on accède en recherchant et en sélectionnant Journaux dans le portail Azure.

Environnement de démo Log Analytics

Prérequis

Cet environnement nécessite un abonnement Azure. Créez un compte Azure gratuit.

Exécuter l’exemple de requête

La requête suivante répond à la question « Quelles sont les 10 requêtes de journal les plus longues au cours du dernier jour ? »

Exécuter la requête

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

Voici une analyse pas à pas de la façon dont la requête traite les données.

1. La requête commence par la table LAQueryLogs comme entrée tabulaire.
2. Elle filtre les enregistrements pour lesquels la colonne TimeGenerated se situe entre 24 heures et aujourd'hui, c'est-à-dire au cours de la journée écoulée.
3. La liste résultante est triée dans l'ordre décroissant en fonction de la valeur de la colonne ResponseDurationMs.
4. Enfin, les 10 premiers enregistrements sont renvoyés.

Azure Resource Graph

L'explorateur Azure Resource Graph est accessible par la recherche et la sélection de l'explorateur Resource Graph dans le portail Azure.

Explorateur Azure Resource Graph

Prérequis

Cet environnement nécessite un abonnement Azure. Créez un compte Azure gratuit.

Exécuter l’exemple de requête

La requête suivante répond à la question « Quelles sont les 10 dernières ressources de stockage activées ? »

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

Voici une analyse pas à pas de la façon dont la requête traite les données.

1. La requête commence par la table Resources comme entrée tabulaire.
2. Elle filtre les enregistrements pour lesquels la colonne type contient le terme stockage.
3. La liste obtenue est triée par ordre décroissant sur la base de la valeur LastEnabledTime dans le champ dynamique appelé properties.
4. Enfin, les 10 premiers enregistrements sont renvoyés.