Introdução às consultas de registos no Azure Monitor

Nota

Se você estiver coletando dados de pelo menos uma máquina virtual, poderá executar este exercício em seu próprio ambiente. Para outros cenários, use nosso ambiente de demonstração, que inclui muitos dados de exemplo.

Se você já sabe como consultar no Kusto Query Language (KQL), mas precisa criar rapidamente consultas úteis com base em tipos de recursos, consulte o painel de consultas de exemplo salvo em Usar consultas no Azure Monitor Log Analytics.

Neste tutorial, você aprenderá a escrever consultas de log no Azure Monitor. O artigo mostra como:

• Compreender a estrutura da consulta.
• Ordenar os resultados da consulta.
• Filtrar resultados da consulta.
• Especifique um intervalo de tempo.
• Selecione quais campos incluir nos resultados.
• Defina e use campos personalizados.
• Agregar e agrupar resultados.

Para obter um tutorial sobre como usar o Log Analytics no portal do Azure, consulte Introdução ao Azure Monitor Log Analytics.

Para obter mais informações sobre consultas de log no Azure Monitor, consulte Visão geral das consultas de log no Azure Monitor.

Aqui está uma versão em vídeo deste tutorial:

Permissões necessárias

Você deve ter Microsoft.OperationalInsights/workspaces/query/*/read permissões para os espaços de trabalho do Log Analytics consultados, conforme fornecido pela função interna do Log Analytics Reader, por exemplo.

Escrever uma nova consulta

As consultas podem começar com um nome de tabela ou com o search comando. É uma boa ideia começar com um nome de tabela porque ele define um escopo claro para a consulta. Também melhora o desempenho da consulta e a relevância dos resultados.

Nota

O KQL, que é usado pelo Azure Monitor, diferencia maiúsculas de minúsculas. As palavras-chave linguísticas são geralmente escritas em minúsculas. Ao usar nomes de tabelas ou colunas em uma consulta, certifique-se de usar as maiúsculas e minúsculas corretas, conforme mostrado no painel de esquema.

Consultas baseadas em tabelas

O Azure Monitor organiza os dados de registo em tabelas, cada uma composta por várias colunas. Todas as tabelas e colunas são mostradas no painel de esquema no Log Analytics no portal do Google Analytics. Identifique uma tabela na qual você está interessado e, em seguida, dê uma olhada em alguns dados:

SecurityEvent
| take 10

A consulta anterior retorna 10 resultados da SecurityEvent tabela, sem ordem específica. Esta forma comum de dar uma vista de olhos a uma tabela ajuda-o a compreender a sua estrutura e conteúdo. Vamos examinar como ele é construído:

• A consulta começa com o nome SecurityEventda tabela , que define o escopo da consulta.

• O caractere pipe (|) separa comandos, de modo que a saída do primeiro comando é a entrada do próximo. Você pode adicionar qualquer número de elementos canalizados.

• Seguindo o tubo é o take operador.

  Poderíamos executar a consulta mesmo sem adicionar | take 10. O comando ainda seria válido, mas poderia retornar até 30.000 resultados.

Realizar

Use o operador para exibir uma pequena amostra de registros retornando até o take número especificado de registros. Os resultados selecionados são arbitrários e exibidos em nenhuma ordem específica. Se você precisar retornar resultados em um pedido específico, use os sort operadores e top .

Consultas de pesquisa

As consultas de pesquisa são menos estruturadas. Eles são mais adequados para encontrar registros que incluem um valor específico em qualquer uma de suas colunas:

search in (SecurityEvent) "Cryptographic"
| take 10

Esta consulta procura na SecurityEvent tabela registos que contenham a frase "Criptográfico". Desses registros, 10 registros são retornados e exibidos. Se você omitir a parte e executar apenas search "Cryptographic", a in (SecurityEvent) pesquisa passa por todas as tabelas. O processo demoraria mais tempo e seria menos eficiente.

Importante

As consultas de pesquisa são normalmente mais lentas do que as consultas baseadas em tabela porque têm de processar mais dados.

Ordenar e topo

Esta seção descreve os sort operadores e e top seus desc argumentos asc . Embora take seja útil para obter alguns registros, você não pode selecionar ou classificar os resultados em qualquer ordem específica. Para obter uma vista ordenada, utilize sort e top.

Desc e asc

Desc

Use o desc argumento para classificar os registros em ordem decrescente. Decrescente é a ordem de classificação padrão para sort e top, portanto, você geralmente pode omitir o desc argumento.

Por exemplo, os dados retornados por ambas as consultas a seguir são classificados pela coluna TimeGerated, em ordem decrescente:

• SecurityEvent	
  | sort by TimeGenerated desc
  

• SecurityEvent	
  | sort by TimeGenerated
  

Asc

Para classificar em ordem crescente, especifique asc.

Ordenação

Você pode usar o sort operador. sort Classifica os resultados da consulta pela coluna especificada. No entanto, sort não limita o número de registros retornados pela consulta.

Por exemplo, a consulta a seguir retorna todos os registros disponíveis para a SecurityEvent tabela, que é de até um máximo de 30.000 registros, e os classifica pela coluna TimeGerated.

SecurityEvent	
| sort by TimeGenerated

A consulta anterior pode retornar muitos resultados. Além disso, também pode levar algum tempo para retornar os resultados. A consulta classifica toda SecurityEvent a TimeGenerated tabela pela coluna. Em seguida, o portal do Google Analytics limita a exibição a apenas 30.000 registros. Esta abordagem não é a ideal. A melhor maneira de obter apenas os registros mais recentes é usar o top operador.

Parte Superior

Use o top operador para classificar a tabela inteira no lado do servidor e, em seguida, retorne apenas os registros superiores.

Por exemplo, a consulta a seguir retorna os 10 registros mais recentes:

SecurityEvent
| top 10 by TimeGenerated

A saída se parece com este exemplo.

O operador where: Filtrar em uma condição

Os filtros, conforme indicado pelo nome, filtram os dados por uma condição específica. A filtragem é a forma mais comum de limitar os resultados da consulta a informações relevantes.

Para adicionar um filtro a uma consulta, use o where operador seguido por uma ou mais condições. Por exemplo, a consulta a seguir retorna apenas SecurityEvent registros em que Level equals _8:

SecurityEvent
| where Level == 8

Ao escrever condições de filtro, você pode usar as seguintes expressões:

Expression	Descrição	Exemplo
==	Verificar a igualdade (diferencia maiúsculas de minúsculas)	Level == 8
=~	Verificar a igualdade (sem distinção entre maiúsculas e minúsculas)	EventSourceName =~ "microsoft-windows-security-auditing"
!=, <>	Verificar a desigualdade (ambas as expressões são idênticas)	Level != 4
and, or	Obrigatório entre condições	Level == 16 or CommandLine != ""

Para filtrar por várias condições, você pode usar uma das seguintes abordagens:

Use and, como mostrado aqui:

SecurityEvent
| where Level == 8 and EventID == 4672

Canalize vários where elementos, um após o outro, como mostrado aqui:

SecurityEvent
| where Level == 8 
| where EventID == 4672

Nota

Os valores podem ter tipos diferentes, portanto, talvez seja necessário lançá-los para realizar comparações no tipo correto. Por exemplo, a SecurityEvent Level coluna é do tipo String, portanto, você deve convertê-la em um tipo numérico, como int ou long, antes de poder usar operadores numéricos nela, conforme mostrado aqui: SecurityEvent | where toint(Level) >= 10

Especificar um intervalo de tempo

Você pode especificar um intervalo de tempo usando o seletor de tempo ou um filtro de tempo.

Use o seletor de tempo

O seletor de tempo é exibido ao lado do botão Executar e indica que você está consultando registros das últimas 24 horas. Esse intervalo de tempo padrão é aplicado a todas as consultas. Para obter registros apenas da última hora, selecione Última hora e execute a consulta novamente.

Adicionar um filtro de tempo à consulta

Você também pode definir seu próprio intervalo de tempo adicionando um filtro de tempo à consulta. Adicionar um filtro de tempo substitui o intervalo de tempo selecionado no seletor de tempo.

É melhor colocar o filtro de tempo imediatamente após o nome da tabela:

SecurityEvent
| where TimeGenerated > ago(30m) 
| where toint(Level) >= 10

No filtro de tempo anterior, ago(30m) significa "30 minutos atrás". Essa consulta retorna registros apenas dos últimos 30 minutos, que é expressa como, por exemplo, 30m. Outras unidades de tempo incluem dias (por exemplo, 2d) e segundos (por exemplo, 10s).

Use o projeto e estenda para selecionar e calcular colunas

Use project para selecionar colunas específicas para incluir nos resultados:

SecurityEvent 
| top 10 by TimeGenerated 
| project TimeGenerated, Computer, Activity

O exemplo anterior gera a seguinte saída:

Você também pode usar project para renomear colunas e definir novas. O próximo exemplo usa project para fazer o seguinte:

• Selecione apenas as colunas e TimeGenerated originalComputer.
• Exiba a Activity coluna como EventDetails.
• Crie uma nova coluna chamada EventCode. A substring() função é usada para obter apenas os quatro primeiros caracteres do Activity campo.

SecurityEvent
| top 10 by TimeGenerated 
| project Computer, TimeGenerated, EventDetails=Activity, EventCode=substring(Activity, 0, 4)

Você pode usar extend para manter todas as colunas originais no conjunto de resultados e definir outras. A consulta a seguir usa extend para adicionar a EventCode coluna. Esta coluna pode não ser exibida no final dos resultados da tabela. Você precisaria expandir os detalhes de um registro para visualizá-lo.

SecurityEvent
| top 10 by TimeGenerated
| extend EventCode=substring(Activity, 0, 4)

Usar resumo para agregar grupos de linhas

Use summarize para identificar grupos de registros de acordo com uma ou mais colunas e aplicar agregações a eles. O uso mais comum é summarizecount, que retorna o número de resultados em cada grupo.

A consulta a seguir analisa todos os registros da última hora, agrupa-os Perf por ObjectNamee conta os registros em cada grupo:

Perf
| where TimeGenerated > ago(1h)
| summarize count() by ObjectName

Às vezes, faz sentido definir grupos por múltiplas dimensões. Cada combinação exclusiva desses valores define um grupo separado:

Perf
| where TimeGenerated > ago(1h)
| summarize count() by ObjectName, CounterName

Outro uso comum é realizar cálculos matemáticos ou estatísticos em cada grupo. O exemplo a seguir calcula a média CounterValue de cada computador:

Perf
| where TimeGenerated > ago(1h)
| summarize avg(CounterValue) by Computer

Infelizmente, os resultados desta consulta não fazem sentido porque misturamos diferentes contadores de desempenho. Para tornar os resultados mais significativos, calcule a média separadamente para cada combinação de CounterName e Computer:

Perf
| where TimeGenerated > ago(1h)
| summarize avg(CounterValue) by Computer, CounterName

Resumir por uma coluna de tempo

Os resultados do agrupamento também podem ser baseados em uma coluna de tempo ou outro valor contínuo. Simplesmente resumir by TimeGenerated, no entanto, criaria grupos para cada milissegundo ao longo do intervalo de tempo, porque esses valores são exclusivos.

Para criar grupos com base em valores contínuos, é melhor dividir o intervalo em unidades gerenciáveis usando bin. A consulta a seguir analisa registros Perf que medem memória livre (Available MBytes) em um computador específico. Calcula o valor médio de cada período de 1 hora nos últimos 7 dias:

Perf 
| where TimeGenerated > ago(7d)
| where Computer == "ContosoAzADDS2" 
| where CounterName == "Available MBytes" 
| summarize avg(CounterValue) by bin(TimeGenerated, 1h)

Para tornar a saída mais clara, você pode optar por exibi-la como um gráfico de tempo, que mostra a memória disponível ao longo do tempo.

Perguntas mais frequentes

Esta secção fornece respostas a perguntas comuns.

Por que motivo estou a ver registos em duplicado nos Registos do Azure Monitor?

Ocasionalmente, você pode notar registros duplicados nos Logs do Azure Monitor. Essa duplicação é tipicamente de uma das duas condições a seguir:

• Os componentes no pipeline têm repetidas tentativas para garantir uma entrega confiável no destino. Ocasionalmente, esse recurso pode resultar em duplicatas para uma pequena porcentagem de itens de telemetria.
• Se os registros duplicados vierem de uma máquina virtual, você pode ter o agente do Log Analytics e o Agente do Azure Monitor instalados. Se você ainda precisar do agente do Log Analytics instalado, configure o espaço de trabalho do Log Analytics para não coletar mais dados que também estão sendo coletados pela regra de coleta de dados usada pelo Azure Monitor Agent.

Próximos passos

• Para saber mais sobre como usar dados de cadeia de caracteres em uma consulta de log, consulte Trabalhar com cadeias de caracteres em consultas de log do Azure Monitor.
• Para saber mais sobre como agregar dados em uma consulta de log, consulte Agregações avançadas em consultas de log do Azure Monitor.
• Para saber como unir dados de várias tabelas, consulte Associações em consultas de log do Azure Monitor.
• Obtenha documentação sobre toda a linguagem de consulta Kusto na referência da linguagem KQL.