Esercizio - Tipi diversi di query KQL

4 minuti

Si esaminerà ora la struttura e l'uso di diversi tipi di istruzioni di query e si scriverà alcune query.

Eseguire query con istruzioni di espressione tabulare

Le istruzioni di espressione tabulare sono fondamentali nel linguaggio KQL, perché consentono di filtrare e modificare i dati tabulari per restituire i risultati desiderati.

Vediamo un esempio. Selezionare la scheda pertinente per l'ambiente.

Esplora dati di Azure offre un cluster della Guida con diversi tipi di dati precaricati. È possibile accedere a questo cluster usando l'interfaccia utente Web di Esplora dati di Azure.

Cluster della Guida di Esplora dati di Azure

La procedura seguente illustra come compilare una query applicando alcuni operatori a un set di dati tabulare iniziale. Ogni query è costituita da istruzioni di espressione tabulare, alcune delle quali contengono operatori. Gli operatori accettano un input tabulare, eseguono un'operazione e producono un nuovo output tabulare.

Iniziare con un set di dati tabulari.

Eseguire la query
```
StormEvents
```
Output: il set di dati tabulari completo dalla tabella StormEvents.
Applicare un filtro usando l'operatore where per selezionare eventi specifici, ad esempio eventi Flood . L'operatore where filtra il set di dati tabulari e mantiene la struttura tabulare.

Eseguire la query
```
StormEvents
| where State == "FLORIDA"
```
Output: set di dati tabulare di StormEvents record nello stato della FLORIDA.
Usare un altro operatore per modificare ulteriormente l'output tabulare.

Eseguire la query
```
StormEvents
| where State == "FLORIDA"
| sort by InjuriesDirect desc
```
Output: set di dati tabulari di StormEvents record in FLORIDA ordinati in ordine decrescente in base alla InjuriesDirect colonna.

Microsoft Sentinel e Log Analytics in Monitoraggio di Azure usano entrambi l'ambiente demo a cui si accede cercando e selezionando Log nel portale di Azure.

Ambiente demo di Log Analytics

Iniziare con un set di dati tabulari.

Eseguire la query
```
LAQueryLogs
```
Output: il set di dati tabulari completo dalla tabella LAQueryLogs.
Applicare un filtro usando l'operatore where per selezionare eventi specifici. L'operatore where filtra il set di dati tabulari e mantiene la struttura tabulare.

Eseguire la query
```
LAQueryLogs
| where ResponseCode != 200
```
Output: set di dati tabulare di LAQueryLogs record il cui codice di risposta non è 200.
Usare un altro operatore per modificare ulteriormente l'output tabulare.

Eseguire la query
```
LAQueryLogs
| where ResponseCode != 200
| sort by ResponseDurationMs desc
```
Output: set di dati tabulare di LAQueryLogs record il cui codice di risposta non è 200 ordinato in ordine decrescente in base all'oggetto ResponseDurationMs.

È possibile accedere ad Azure Resource Graph Explorer cercando e selezionando Esplora risorse nel portale di Azure.

Azure Resource Graph Explorer

Iniziare con un set di dati tabulari.
```
resources
```
Output: il set di dati tabulari completo dalla tabella resources.
Applicare un filtro usando l'operatore where per selezionare eventi specifici. L'operatore where filtra il set di dati tabulari e mantiene la struttura tabulare.
```
resources
| where location == "eastus"
```
Output: set di dati tabulare di resources nell'area eastus .
Usare un altro operatore per modificare ulteriormente l'output tabulare.
```
resources
| where location == "eastus"
| distinct subscriptionId
```
Output: set di dati tabulare di ID sottoscrizione con resources nell'area eastus .

Introdurre una variabile con un'istruzione let

Le istruzioni consentono di definire variabili nelle query KQL, rendendole più leggibili e modulari.

Vediamo un esempio. Selezionare la scheda pertinente per l'ambiente.

Nella query seguente, state e injuryThreshold sono variabili a cui possono essere assegnati valori in base ai requisiti specifici. Queste variabili vengono quindi usate all'interno della query per filtrare la tabella StormEvents in base ai criteri definiti.

Eseguire la query

let state = "TEXAS";
let injuryThreshold = 10;
StormEvents
| where State == state and InjuriesDirect + InjuriesIndirect > injuryThreshold

Nella query seguente, responseCodes è una variabile di tipo matrice dinamica contenente codici di risposta. La variabile viene quindi usata all'interno della query per filtrare la tabella LAQueryLogs per i log con tali codici di risposta.

Eseguire la query

let responseCodes=dynamic([400, 499]);
LAQueryLogs
| where ResponseCode in (responseCodes)
| sort by ResponseDurationMs desc

Continua

Esercizio - Tipi diversi di query KQL

Eseguire query con istruzioni di espressione tabulare

Introdurre una variabile con un'istruzione let

Commenti e suggerimenti