Поиск и фильтрация событий

При поиске событий создается событие аудита для запросов, выполняемых вручную.

События аудита не создаются для запросов, инициированных панелями мониторинга, отчетами или правилами сбора и анализа данных. Запросы REST API на получение событий также не генерируют событий аудита.

При использовании параметра GROUP BY в момент раскрытия группы создается событие аудита, поскольку для этого выполняется дополнительный запрос.

Если выбран вариант Запуск в фоновом режиме, создаются два события аудита: Event Read Attempt и Search Query Cancelled.

Для поиска и фильтрации событий измените SQL-запрос в поле поиска и нажмите на кнопку Выполнить запрос. Вы можете ввести SQL-запрос вручную или сгенерировать его с помощью конструктора запросов.

В SQL-запросах поддерживается агрегирование и группировка данных.

Вы можете добавить условия фильтрации к уже сформированному SQL-запросу в окне просмотра статистики, в таблице событий и в области сведений о событии.

Чтобы изменить параметры фильтрации из окна Статистика:

1. Следуйте инструкциям, чтобы открыть таблицу событий.
2. Откройте область деталей Статистика угроз одним из следующих способов:
   • В правом верхнем углу таблицы событий нажмите на кнопку и в выберите Статистика угроз.
   • В таблице событий нажмите на любое значение, а затем в открывшемся контекстном меню выберите пункт Статистика угроз.

   В правой части окна откроется область деталей Статистика угроз.

3. Откройте раскрывающийся список необходимого параметра и наведите курсор мыши на требуемое значение.
4. Измените параметры фильтрации, выполнив одно из следующих действий:
   • Чтобы включить только события с выбранным значением, нажмите на кнопку .
   • Чтобы исключить все события с выбранным значением, нажмите на кнопку .

Чтобы изменить параметры фильтрации в таблице событий:

1. Следуйте инструкциям, чтобы открыть таблицу событий.
2. Нажмите на значение параметра события в таблице событий.
3. В открывшемся меню выберите следующие параметры:
   • Чтобы оставить в таблице только события с выбранным значением, выберите Искать события с этим значением.
   • Чтобы исключить из таблицы все события с выбранным значением, выберите Искать события без этого значения.

Чтобы изменить параметры фильтрации в области сведений о событий:

1. Следуйте инструкциям, чтобы открыть таблицу событий.
2. Нажмите на соответствующее событие, чтобы открыть панель сведений о событии.
3. Измените параметры фильтрации, выполнив одно из следующих действий:
   • Чтобы включить только события с выбранным значением, нажмите на кнопку .
   • Чтобы исключить все события с выбранным значением, нажмите на кнопку .

В результате параметры фильтрации и таблица событий обновятся, а новый поисковый запрос отобразится в верхней части экрана.

Когда вы переключаетесь на конструктор запросов, параметры запроса, введенного вручную в поле поиска, не передаются в конструктор, поэтому вам нужно будет создать запрос заново. Запрос, созданный в конструкторе, не перезаписывает запрос, введенный в строку поиска, пока вы не нажмете на кнопку Применить в окне конструктора.

Нажмите на кнопку , чтобы сохранить текущий фильтр.