Управление запросами
Примечание
Функциональность находится на стадии Preview. Чтобы получить доступ, обратитесь в техническую поддержку или к вашему аккаунт-менеджеру.
В этом разделе описано, как создавать и выполнять запросы на языке KQL (Kusto Query Language), а также управлять ими.
Создание нового запроса
Чтобы создать новый запрос:
- Откройте расследование.
- Нажмите Новый запрос.
- В редакторе запросов введите KQL-запрос или выберите шаблон.
Совет
Используйте подсказку в редакторе: Введите запрос, используя синтаксис KQL, или выберите шаблон запроса.
Редактирование запроса
Чтобы отредактировать запрос:
- Откройте расследование с нужным запросом.
- Выберите вкладку с запросом.
- Внесите изменения в редакторе запросов.
Изменения сохраняются автоматически.
Выбор периода
Чтобы выбрать период для запроса:
- Нажмите на селектор периода рядом с кнопкой запуска.
- Выберите один из пресетов:
- Последние 5 минут;
- Последние 30 минут;
- Последний час;
- Последние 3 часа;
- Последние 6 часов;
- Последние 12 часов;
- Последний день.
Или выберите произвольный период:
- Нажмите на селектор временного периода.
- Выберите произвольный период.
- Укажите дату и время начала периода.
- Укажите дату и время окончания периода.
- Нажмите Применить.
Запуск запроса
Чтобы запустить запрос:
- Убедитесь, что запрос введен в редакторе.
- Выберите временной период.
- Нажмите кнопку запуска запроса.
После запуска запрос переходит в статус Выполняется. По завершении результаты отображаются в таблице и на гистограмме.
Примечание
Максимальное количество строк в результатах расследования — 1 000 000.
Остановка выполняющегося запроса
Чтобы остановить выполняющийся запрос:
- Во время выполнения запроса нажмите кнопку остановки.
- Запрос перейдет в статус Остановлен.
Переименование запроса
Чтобы переименовать запрос:
- Нажмите на название запроса на вкладке.
- Введите новое название.
- Нажмите клавишу Enter или кликните вне поля ввода.
Удаление запроса
Чтобы удалить запрос:
- Нажмите правой кнопкой мыши на вкладку запроса.
- Выберите Удалить.
- Подтвердите удаление.
Важно
Удаление запроса необратимо. Результаты и история выполнения будут удалены.
Поделиться запросом
Чтобы поделиться запросом:
- Откройте запрос.
- В меню действий выберите Поделиться.
- Скопируйте ссылку на запрос.
Ссылка содержит текст запроса и выбранный период. Получатель сможет открыть запрос в своем расследовании.
Настройка отображаемых полей в результатах
Чтобы настроить отображаемые поля в таблице результатов:
- Выполните запрос.
- В таблице результатов нажмите на значок настройки столбцов.
- Выберите поля, которые хотите отображать.
- Измените порядок полей перетаскиванием.
- Нажмите Применить.