연습: 다양한 유형의 KQL 쿼리

4분

이제 다양한 형식의 쿼리 문의 구조와 사용에 대해 배운 내용을 토대로 몇 가지 쿼리를 작성해 보겠습니다.

테이블 형식 식 문을 사용하여 쿼리

테이블 형식 식 문은 원하는 결과를 반환하기 위해 테이블 형식 데이터를 필터링하고 조작할 수 있으므로 KQL의 기본 사항입니다.

예제를 살펴보겠습니다. 환경에 맞는 탭을 선택합니다.

Azure Data Explorer는 다양한 유형의 데이터가 미리 로드된 도움말 클러스터를 제공합니다. Azure Data Explorer 웹 UI를 사용하여 이 클러스터에 액세스할 수 있습니다.

다음 단계에서는 시작 테이블 형식 데이터 세트에 연산자를 적용하여 쿼리를 작성하는 방법을 보여 줍니다. 각 쿼리는 테이블 형식 식 문으로 구성되며, 그 중 일부 문은 연산자를 포함합니다. 연산자는 테이블 형식 입력을 수행하고, 연산을 수행하고, 새 테이블 형식 출력을 생성합니다.

테이블 형식 데이터 세트로 시작합니다.

쿼리 실행
```
StormEvents
```
출력:StormEvents 테이블의 전체 테이블 형식 데이터 세트입니다.
where 연산자를 사용하여 필터를 적용하여 Flood 이벤트와 같은 특정 이벤트를 선택합니다. where 연산자는 테이블 형식 데이터 세트를 필터링하고 테이블 형식 구조를 유지합니다.

쿼리 실행
```
StormEvents
| where State == "FLORIDA"
```
출력: FLORIDA 주의 StormEvents개 레코드로 구성된 표 형식 데이터 세트입니다.
다른 연산자를 사용하여 테이블 형식 출력을 추가로 조작합니다.

쿼리 실행
```
StormEvents
| where State == "FLORIDA"
| sort by InjuriesDirect desc
```
출력: InjuriesDirect 열에 따라 내림차순으로 정렬된 FLORIDA의 StormEvents 레코드 테이블 형식 데이터 세트입니다.

Azure Monitor의 Microsoft Sentinel과 Log Analytics는 모두 데모 환경을 사용하며, Azure Portal에서 로그를 검색하여 선택하면 액세스할 수 있습니다.

Log Analytics 데모 환경

테이블 형식 데이터 세트로 시작합니다.

쿼리 실행
```
LAQueryLogs
```
출력:LAQueryLogs 테이블의 전체 테이블 형식 데이터 세트입니다.
특정 이벤트를 선택하려면 where 연산자를 사용하여 필터를 적용합니다. where 연산자는 테이블 형식 데이터 세트를 필터링하고 테이블 형식 구조를 유지합니다.

쿼리 실행
```
LAQueryLogs
| where ResponseCode != 200
```
출력: 응답 코드가 200이 아닌 LAQueryLogs 레코드의 표 형식 데이터 세트입니다.
다른 연산자를 사용하여 테이블 형식 출력을 추가로 조작합니다.

쿼리 실행
```
LAQueryLogs
| where ResponseCode != 200
| sort by ResponseDurationMs desc
```
출력: 응답 코드가 200이 아닌 LAQueryLogs 레코드의 표 형식 데이터 세트는 ResponseDurationMs를 기준으로 내림차순으로 정렬됩니다.

Azure Resource Graph 탐색기는 Azure Portal에서 Resource Graph 탐색기를 검색하고 선택하여 액세스할 수 있습니다.

Azure Resource Graph Explorer

테이블 형식 데이터 세트로 시작합니다.
```
resources
```
출력:resources 테이블의 전체 테이블 형식 데이터 세트입니다.
특정 이벤트를 선택하려면 where 연산자를 사용하여 필터를 적용합니다. where 연산자는 테이블 형식 데이터 세트를 필터링하고 테이블 형식 구조를 유지합니다.
```
resources
| where location == "eastus"
```
출력: eastus 지역에 있는 resources의 표 형식 데이터 세트입니다.
다른 연산자를 사용하여 테이블 형식 출력을 추가로 조작합니다.
```
resources
| where location == "eastus"
| distinct subscriptionId
```
출력: eastus 지역의 resources가 포함된 구독 ID의 테이블 형식 데이터 세트입니다.

Let 문이 있는 변수 소개

Let 문을 사용하면 KQL 쿼리에서 변수를 정의하여 읽기에 더 좋고 모듈식으로 더 잘 만들 수 있습니다.

예제를 살펴보겠습니다. 환경에 맞는 탭을 선택합니다.

다음 쿼리에서 state 및 injuryThreshold는 특정 요구 사항에 따라 값을 할당할 수 있는 변수입니다. 그런 다음, 이런 변수는 쿼리 내에서 정의된 조건에 따라 StormEvents 테이블을 필터링하는 데 사용됩니다.

쿼리 실행

let state = "TEXAS";
let injuryThreshold = 10;
StormEvents
| where State == state and InjuriesDirect + InjuriesIndirect > injuryThreshold

다음 쿼리에서 responseCodes는 응답 코드를 포함하는 동적 배열 형식의 변수입니다. 그런 다음, 쿼리 내에서 변수를 사용하여 LAQueryLogs 테이블에서 해당 응답 코드가 있는 로그를 필터링합니다.

쿼리 실행

let responseCodes=dynamic([400, 499]);
LAQueryLogs
| where ResponseCode in (responseCodes)
| sort by ResponseDurationMs desc

연습: 다양한 유형의 KQL 쿼리

테이블 형식 식 문을 사용하여 쿼리

Let 문이 있는 변수 소개

피드백