연습: 샘플 쿼리

완료됨

이전 단원에서는 KQL 쿼리의 일반적인 구조를 조사했습니다. 이제 몇 가지 샘플 쿼리를 실행해 보겠습니다.

데모 쿼리 환경에 액세스

KQL을 사용하는 일부 제품은 쿼리를 연습하는 데 사용할 수 있는 무료 환경을 제공합니다. 사용하려는 쿼리 환경에 해당하는 다음 탭 중 하나를 선택합니다.

Azure Data Explorer

Azure Data Explorer는 다양한 유형의 데이터가 미리 로드된 도움말 클러스터를 제공합니다. 이 클러스터는 Azure Data Explorer 웹 UI를 사용하여 액세스할 수 있습니다.

Azure Data Explorer 도움말 클러스터

필수 조건

이 환경에는 Microsoft 계정 또는 Microsoft Entra 사용자 ID가 필요합니다.

샘플 쿼리 실행

다음 쿼리는 “홍수로 인한 재산 피해 상위 10건은 무엇인가요?”라는 질문에 대한 답변입니다.

쿼리 실행

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

다음은 쿼리가 데이터를 처리하는 방법에 대한 단계별 분석입니다.

1. 쿼리는 표 형식 입력으로 StormEvents 테이블로 시작됩니다.
2. EventType 열이 Flood와 정확히 동일한 레코드를 필터링합니다.
3. 결과 목록은 DamageProperty 열의 값을 기준으로 내림차순으로 정렬됩니다.
4. 마지막으로, 상위 10개 레코드가 반환됩니다.

Azure Monitor/Microsoft Sentinel

Microsoft Sentinel과 Azure Monitor의 Log Analytics는 모두 Azure Portal에서 로그를 검색하고 선택하여 액세스하는 데모 환경을 사용합니다.

Log Analytics 데모 환경

사전 요구 사항

이 환경에는 Azure 구독이 필요합니다. 평가판 Azure 계정 만들기.

샘플 쿼리 실행

다음 쿼리는 “과거에 응답 기간이 가장 긴 로그 쿼리 상위 10개는 무엇인가요?”라는 질문에 대한 답변입니다.

쿼리 실행

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

다음은 쿼리가 데이터를 처리하는 방법에 대한 단계별 분석입니다.

1. 쿼리는 표 형식 입력으로 LAQueryLogs 테이블로 시작됩니다.
2. TimeGenerated 열이 24시간 전과 현재 사이(즉, 지난 날)에 있는 레코드를 필터링합니다.
3. 결과 목록은 ResponseDurationMs 열의 값을 기준으로 내림차순으로 정렬됩니다.
4. 마지막으로, 상위 10개 레코드가 반환됩니다.

Azure Resource Graph

Azure Resource Graph 탐색기는 Azure Portal에서 Resource Graph 탐색기를 검색하고 선택하여 액세스할 수 있습니다.

Azure Resource Graph Explorer

사전 요구 사항

이 환경에는 Azure 구독이 필요합니다. 평가판 Azure 계정 만들기.

샘플 쿼리 실행

다음 쿼리는 “가장 최근에 사용하도록 설정된 스토리지 리소스 상위 10개 항목이 무엇인가요?”라는 질문에 대답합니다.

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

다음은 쿼리가 데이터를 처리하는 방법에 대한 단계별 분석입니다.

1. 쿼리는 표 형식 입력으로 Resources 테이블로 시작됩니다.
2. type 열에 스토리지라는 용어가 포함된 레코드를 필터링합니다.
3. 결과 목록은 properties라는 동적 필드의 LastEnabledTime 값을 기준으로 내림차순으로 정렬됩니다.
4. 마지막으로, 상위 10개 레코드가 반환됩니다.