Esercizio: Query di esempio

Completato

Nell'unità precedente è stata esaminata la struttura generale di una query KQL. Si proverà ora eseguire alcune query di esempio.

Accedere ad ambienti di query demo

Alcuni dei prodotti che usano KQL offrono ambienti gratuiti che è possibile usare per praticare le query. Scegliere una delle schede seguenti che corrisponde all'ambiente di query da usare.

Esplora dati di Azure

Esplora dati di Azure offre un cluster della Guida con diversi tipi di dati precaricati. È possibile accedere a questo cluster usando l'interfaccia utente Web di Esplora dati di Azure.

Cluster della Guida di Esplora dati di Azure

Prerequisiti

Questo ambiente richiede un account Microsoft o un'identità utente di Microsoft Entra.

Eseguire una query di esempio

La query seguente risponde alla domanda "Quali sono i primi 10 danni alla proprietà causati da inondazioni?"

Eseguire la query

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

Ecco un'analisi dettagliata del modo in cui la query elabora i dati.

1. La query inizia con le tabelle StormEvents come input tabulare.
2. Filtra i record per i quali la colonna EventType è esattamente uguale a Flood.
3. L'elenco risultante viene quindi ordinato in ordine decrescente in base al valore nella colonna DamageProperty.
4. Vengono infine restituiti i primi 10 record.

Monitoraggio di Azure/Microsoft Sentinel

Microsoft Sentinel e Log Analytics in Monitoraggio di Azure usano entrambi l'ambiente demo a cui si accede cercando e selezionando Log nel portale di Azure.

Ambiente demo di Log Analytics

Prerequisiti

Questo ambiente richiede una sottoscrizione di Azure. Creare un account Azure gratuito.

Eseguire una query di esempio

La query seguente risponde alla domanda "Quali sono state le 10 query di log dalla durata della risposta più lunga nell'ultimo giorno?"

Eseguire la query

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

Ecco un'analisi dettagliata del modo in cui la query elabora i dati.

1. La query inizia con le tabelle LAQueryLogs come input tabulare.
2. Filtra i record per i quali la colonna TimeGenerated è compresa tra 24 ore fa e ora, vale a dire nell'ultimo giorno.
3. L'elenco risultante viene quindi ordinato in ordine decrescente in base al valore nella colonna ResponseDurationMs.
4. Vengono infine restituiti i primi 10 record.

Azure Resource Graph

È possibile accedere ad Azure Resource Graph Explorer cercando e selezionando Resource Graph Explorer nel portale di Azure.

Azure Resource Graph Explorer

Prerequisiti

Questo ambiente richiede una sottoscrizione di Azure. Creare un account Azure gratuito.

Eseguire una query di esempio

La query seguente risponde alla domanda "Quali sono le prime 10 risorse di archiviazione abilitate di recente?"

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

Ecco un'analisi dettagliata del modo in cui la query elabora i dati.

1. La query inizia con le tabelle Resources come input tabulare.
2. Filtra i record per i quali la colonna type contiene il termine archiviazione.
3. L'elenco risultante viene quindi ordinato in ordine decrescente in base al valore LastEnabledTime nel campo dinamico denominato properties.
4. Vengono infine restituiti i primi 10 record.