練習：範例查詢

已完成

在上一個單元中，我們已檢查 KQL 查詢的一般結構。 現在，我們要嘗試執行一些範例查詢。

存取示範查詢環境

某些使用 KQL 的產品提供免費環境，讓您用來練習查詢。 選擇下列其中一個索引標籤，其對應至您想要使用的查詢環境。

Azure 資料總管

Azure 資料總管提供預先載入不同類型資料的協助叢集。 您可以使用 Azure 資料總管 Web UI 來存取此叢集。

Azure 資料總管協助叢集

必要條件

此環境需要 Microsoft 帳戶或 Microsoft Entra 使用者身分識別。

執行範例查詢

下列查詢會回答「洪水造成的 10 大財產損失為何？」這個問題

執行查詢

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

以下是查詢如何處理資料的逐步分析。

1. 查詢開頭以 StormEvents 資料表作為表格式輸入。
2. 這會篩選 EventType 資料行完全符合 Flood 的記錄。
3. 產生的清單會依照 DamageProperty 資料行中的值，以遞減順序排序。
4. 最後，會傳回前 10 筆記錄。

Azure 監視器/Microsoft Sentinel

Azure 監視器中的 Microsoft Sentinel 和 Log Analytics 都可使用示範環境，您可以透過搜尋並選取 Azure 入口網站中的 [記錄] 來存取此環境。

Log Analytics 示範環境

必要條件

此環境需要 Azure 訂用帳戶。 建立免費的 Azure 帳戶。

執行範例查詢

下列查詢會回答「過去一天內，回應持續時間最長的 10 個記錄查詢為何？」這個問題

執行查詢

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

以下是查詢如何處理資料的逐步分析。

1. 查詢開頭以 LAQueryLogs 資料表作為表格式輸入。
2. 它會篩選 TimeGenerated 資料行介於 24 小時前與當前時間的記錄 (表示過去一天)。
3. 產生的清單會依照 ResponseDurationMs 資料行中的值，以遞減順序排序。
4. 最後，會傳回前 10 筆記錄。

Azure Resource Graph

在 Azure 入口網站中搜尋並選取 [Resource Graph 總管]，即可存取 Azure Resource Graph 總管。

Azure Resource Graph 總管

必要條件

此環境需要 Azure 訂用帳戶。 建立免費的 Azure 帳戶。

執行範例查詢

下列查詢會回答「最近啟用的 10 個儲存體資源為何？」這個問題

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

以下是查詢如何處理資料的逐步分析。

1. 查詢開頭以 Resources 資料表作為表格式輸入。
2. 它會篩選 type 資料行包含 storage 一詞的記錄。
3. 產生的清單會依照動態欄位 properties 中的 LastEnabledTime 值，以遞減順序排序。
4. 最後，會傳回前 10 筆記錄。