入门使用 Azure Monitor 日志中的日志查询

此查询会在 SecurityEvent 表中搜索包含“Cryptographic”一词的记录。在这些记录中，将返回并显示 10 条记录：

search in (SecurityEvent) "Cryptographic"
| take 10

如果你省略in (SecurityEvent)部分并只运行search "Cryptographic"，那么搜索将会遍历所有表。 此过程则会花费更长时间，而且效率更低。

若要搜索在其任何列中包括特定值的记录，

1. 选择一个表，然后选择 SecurityEvent。

2. 打开添加>在表中搜索。

   

3. 输入“加密”，然后选择“应用”。

   

4. 若要仅显示 10 个结果，请参阅“限制结果”。

使用 take 运算符通过返回最多为指定数量的记录来查看记录的小样本。 例如：

SecurityEvent
| take 10

所选结果是任意的，并且不按特定顺序显示。 如果需要按特定顺序返回结果，请使用 sort 和 top 运算符。

若要返回最多特定数量的记录，可以限制结果：

1. 选择“显示”以打开“显示结果”窗口。

2. 选择一个预设限制或输入自定义限制，然后选择“应用”。

可以使用 sort 运算符 按指定的列对查询结果进行排序。 但 sort 不会限制查询返回的记录数。

例如，以下查询会返回 SecurityEvent 表的所有可用记录（最多可为 30,000 条记录），并按 TimeGenerated 列对其进行排序。

SecurityEvent	
| sort by TimeGenerated

前面的查询可能会返回过多的结果。 此外，返回结果可能还需要一些时间。 此查询按 SecurityEvent 列将整个 TimeGenerated 表排序。 而 Analytics 门户仅限显示 30,000 条记录。 此方法不是最佳的。 获取最新记录的最佳方式是使用 top 运算符。

降序和升序

使用 desc 参数按降序对记录进行排序。 降序是用于 sort 和 top 的默认排序顺序，因此通常可以省略 desc 参数。

例如，以下两个查询返回的数据按 TimeGenerated 列按降序排序：

• SecurityEvent	
  | sort by TimeGenerated desc
  

• SecurityEvent	
  | sort by TimeGenerated
  

若要按升序排序，请指定 asc。

若要对结果进行排序：

1. 打开“添加”>“排序”。

   

2. 选择一列进行排序。

3. 选择“升序”或“降序”，然后选择“应用”。

   

4. 再次打开添加>排序以便根据其他列进行排序。

使用 top 运算符在服务器端对整个表进行排序，然后仅返回排在前面的记录。

例如，以下查询会返回最新的 10 条记录：

SecurityEvent
| top 10 by TimeGenerated

输出如下所示：

在简单模式下，没有对 top 运算符的直接等效。 可以改为对列进行排序，然后限制结果。

要将筛选器添加到查询，请使用 where 运算符，后跟一个或多个条件。 例如，以下查询仅返回 SecurityEvent 条记录，其中 Level equals _8：

SecurityEvent
| where Level == 8

编写筛选条件时，可使用以下表达式：

若要筛选 SecurityEvent 表中的结果，仅显示 Level 等于 8 的记录：

1. 打开“添加” 并选择列 Level。

   

2. 在运算符下拉列表中，选择等于。 在下面的字段中输入数字 8，然后选择“应用”。

   

若要按多个条件筛选，可使用以下方法之一：

使用 and，如下所示：

SecurityEvent
| where Level == 8 and EventID == 4672

使用竖线逐个分隔多个 where 元素，如下所示：

SecurityEvent
| where Level == 8 
| where EventID == 4672

若要按多个条件进行筛选，可以添加其他筛选器：

1. 打开“添加” 并选择列 EventID。

2. 在运算符下拉列表中，选择等于。 在下面的字段中输入数字 4672，然后选择“应用”。

可使用时间选取器或时间筛选器指定时间范围。

使用时间选择器

时间选取器显示在“运行”按钮的旁边，指示你只查询过去 24 小时的记录。 此默认时间范围应用于所有查询。 要获取仅过去一小时的记录，请选择“最后一小时”，然后重新运行查询。

向查询添加时间筛选器

还可以通过将时间筛选器添加到查询来定义自己的时间范围。

最好是紧接在表名后面添加时间筛选器：

SecurityEvent
| where TimeGenerated > ago(30m) 
| where toint(Level) >= 10

在前面的时间筛选器中，ago(30m) 表示“30 分钟前”。此查询仅返回过去 30 分钟的记录（例如，表示为 30m）。 其他时间单位包括天（例如 2d）以及秒（例如 10s）。

时间选取器显示在“运行”按钮的旁边，指示你只查询过去 24 小时的记录。 此默认时间范围应用于所有查询。 要获取仅过去一小时的记录，请选择“最后一小时”，然后重新运行查询。

使用project可以选择要包含在结果中的特定列：

SecurityEvent 
| top 10 by TimeGenerated 
| project TimeGenerated, Computer, Activity

上面的示例生成以下输出：

还可以使用project来重命名列，并定义新列。 下一个示例使用 project 执行以下操作：

• 仅选择 Computer 和 TimeGenerated 原始列。
• 将 Activity 列显示为 EventDetails。
• 创建名为 EventCode 的新列。 substring() 函数用于仅获取 Activity 字段中的前 4 个字符。

SecurityEvent
| top 10 by TimeGenerated 
| project Computer, TimeGenerated, EventDetails=Activity, EventCode=substring(Activity, 0, 4)

可以手动选择要在结果中显示的列：

1. 打开“添加”“显示列”。>

   

2. 取消选择 All，然后选择列 TimeGenerated、Computer 和 Activity。

   

3. 选择 应用。

可使用 extend 来保留结果集中的所有原始列并定义其他列。 以下查询使用 extend 添加 EventCode 列。 此列可能不会显示在表结果的末尾。 需要展开记录的详细信息才能查看记录。

SecurityEvent
| top 10 by TimeGenerated
| extend EventCode=substring(Activity, 0, 4)

在简单模式下，没有对 extend 运算符的直接等效。

使用 summarize 可以根据一个或多个列标识记录组，并向其应用聚合。 summarize 最常见的用途是 count，可以返回每个组中的结果数。

以下查询检查过去一小时的所有 Perf 记录，按 ObjectName 将其分组，然后统计每个组中的记录数：

Perf
| where TimeGenerated > ago(1h)
| summarize count() by ObjectName

若要查看最后一个记录中的所有 Perf 记录，请按 ObjectName 对其分组，并计算每个组中的记录数：

1. 打开“时间范围” ，并将其更改为“过去一小时”。

2. 打开“添加”>“聚合”，然后进行以下选择，然后选择“应用”：

   • 选择列： 对象名称
   • 运算符：计数

有时，按多个维度定义组会很有利。 这些值的每个唯一组合定义了一个单独的组：

Perf
| where TimeGenerated > ago(1h)
| summarize count() by ObjectName, CounterName

目前，无法在简单模式下按多个维度定义组。

另一个常见用途是对每个组执行数学或统计计算。 以下示例计算每台计算机的平均 CounterValue：

Perf
| where TimeGenerated > ago(1h)
| summarize avg(CounterValue) by Computer

遗憾的是，此查询的结果没有意义，因为我们混合了不同的性能计数器。 若要使结果更有意义，可分别计算每个 CounterName 和 Computer 组合的平均值 ：

Perf
| where TimeGenerated > ago(1h)
| summarize avg(CounterValue) by Computer, CounterName

计算每台电脑的CounterValue平均值：

1. 打开“时间范围” ，并将其更改为“过去一小时”。

2. 打开“添加”>“聚合”，然后进行以下选择，然后选择“应用”：

   • 选择列：计算机
   • 运算符：平均值
   • 平均值：CounterValue

遗憾的是，此查询的结果没有意义，因为我们混合了不同的性能计数器。 若要使结果更有意义，可分别计算每个 CounterName 和 Computer 组合的平均值。

但是，目前无法在简单模式下按多个维度定义组。 切换到 KQL 模式选项卡，查看如何使用 Kusto 查询实现此操作。

若要创建基于连续值的组，最好是使用 bin 将范围划分为可管理的单位。 以下查询分析 Perf 记录，这些记录度量特定计算机上的可用内存 (Available MBytes)。 它计算过去 7 天中每 1 小时时段的平均值：

Perf 
| where TimeGenerated > ago(7d)
| where Computer == "DC01.na.contosohotels.com" 
| where CounterName == "Available MBytes" 
| summarize avg(CounterValue) by bin(TimeGenerated, 1h)

若要使输出更清晰，可选择通过时间图表的形式显示一段时间内的可用内存。 为此，请切换到图表视图，打开右侧的图表格式边栏，然后在图表类型中选择折线：

1. 选择 Perf 表格。

2. 打开“时间范围” ，并将其更改为“过去 7 天”。

3. 打开“添加”，选择 Computer，然后选中 DC01.na.contosohotels.com 并选择“应用”。

   注释

   如果 DC01.na.contosohotels.com 未显示，将显示的结果从 1000（标准）增加到更高的数字。

4. 打开“添加”，然后选择 CounterName，然后选中 Available MBytes 并选择“应用”。

5. 打开“添加”>“聚合”，然后进行以下选择，然后选择“应用”。

   • 选择列：TimeGenerated
   • 运算符：平均值
   • 平均值：CounterValue

6. 请切换到图表视图，打开右侧的图表格式边栏，然后为图表类型选择折线。