Exercício: Consultas de amostra

Concluído

Na unidade anterior, examinamos a estrutura geral de uma consulta KQL. Agora vamos tentar executar algumas consultas de exemplo.

Acessar ambientes de consulta de demonstração

Alguns dos produtos que usam o KQL oferecem ambientes gratuitos que você pode usar para praticar consultas. Escolha uma das guias a seguir que corresponda ao ambiente de consulta que você deseja usar.

Azure Data Explorer

O Azure Data Explorer oferece um cluster de ajuda com diferentes tipos de dados pré-carregados. Você pode acessar esse cluster usando a interface do usuário da Web do Azure Data Explorer.

Cluster de ajuda do Azure Data Explorer

Pré-requisitos

Este ambiente requer uma conta Microsoft ou uma identidade de utilizador do Microsoft Entra.

Executar consulta de exemplo

A pergunta a seguir responde à pergunta: "Quais foram os 10 principais danos materiais causados por inundações?"

Executar a consulta

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

Aqui está uma análise passo a passo de como a consulta processa os dados.

1. A consulta começa com a StormEvents tabela como entrada tabular.
2. Ele filtra em registros para os quais a EventType coluna é exatamente igual a Flood.
3. A lista resultante é classificada em ordem decrescente com base no valor na DamageProperty coluna.
4. Finalmente, os 10 primeiros recordes são devolvidos.

Azure Monitor/Microsoft Sentinel

O Microsoft Sentinel e o Log Analytics no Azure Monitor usam o ambiente de demonstração que você acessa pesquisando e selecionando Logs no portal do Azure.

Ambiente de demonstração do Log Analytics

Pré-requisitos

Esse ambiente requer uma assinatura do Azure. Crie uma conta do Azure gratuita.

Executar consulta de exemplo

A consulta a seguir responde à pergunta: "Quais foram as 10 consultas de log de maior duração de resposta no dia anterior?"

Executar a consulta

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

Aqui está uma análise passo a passo de como a consulta processa os dados.

1. A consulta começa com a LAQueryLogs tabela como entrada tabular.
2. Ele filtra em registros para os quais a TimeGenerated coluna está entre 24 horas atrás e agora, ou seja, no dia passado.
3. A lista resultante é classificada em ordem decrescente com base no valor na ResponseDurationMs coluna.
4. Finalmente, os 10 primeiros recordes são devolvidos.

Azure Resource Graph

Você pode acessar o Azure Resource Graph Explorer pesquisando e selecionando Resource Graph Explorer no portal do Azure.

Azure Resource Graph Explorer

Pré-requisitos

Esse ambiente requer uma assinatura do Azure. Crie uma conta do Azure gratuita.

Executar consulta de exemplo

A consulta a seguir responde à pergunta: "Quais foram os 10 principais recursos de armazenamento habilitados mais recentemente?"

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

Aqui está uma análise passo a passo de como a consulta processa os dados.

1. A consulta começa com a Resources tabela como entrada tabular.
2. Ele filtra os registros para os quais a type coluna contém o termo armazenamento.
3. A lista resultante é classificada em ordem decrescente com base no valor LastEnabledTime no campo dinâmico chamado properties.
4. Finalmente, os 10 primeiros recordes são devolvidos.