Oracle Logging Analytics permite seleccionar y ejecutar una búsqueda utilizada recientemente. Al hacer clic en el campo Buscar o introducir texto en el campo Buscar, Oracle Logging Analytics muestra una lista de búsquedas utilizadas recientemente. Esto le permite acceder rápidamente a los comandos de búsqueda utilizados recientemente. Puede seleccionar cualquiera de los comandos mostrados y hacer clic en Ejecutar para ejecutar el comando de búsqueda seleccionado.

La interfaz de usuario de Oracle Logging Analytics permite formular la consulta de búsqueda.

Puede utilizar los siguientes elementos de la interfaz de usuario para formular la consulta de búsqueda:

• Barra de búsqueda: la consulta de búsqueda se muestra aquí. Puede editar directamente el texto en este campo para acotar aún más los resultados de búsqueda.

  La barra de búsqueda aumenta o se reduce según el número de líneas agregadas a la consulta. Puede tener un máximo de 21 líneas y un mínimo de 1 línea. Algunos de los accesos directos personalizados disponibles son:

  • Ctrl + i: sangrar cada línea del texto presente en el editor. Tenga en cuenta que con laI mayúscula se abre el depurador.
  • Ctrl + Enter: ejecutar la consulta que se muestra en el editor
  • Con Ctrl + Space: se muestra la lista de opciones de terminar automáticamente según la posición del cursor
  • Ctrl + Z: deshace la última edición
  • Ctrl + Y: rehace la última edición
  • Ctrl + D: suprime la línea actual

  Nota: No utilice la tecla SHIFT a menos que se especifique.

  Coloque el cursor entre los paréntesis de apertura o cierre para ver el elemento coincidente resaltado. Los elementos que se pueden resaltar son ( ) y [ ].

  La barra de búsqueda soporta dos temas diferentes, de color y de escala de grises. Puede cambiar los temas dinámicamente cambiando la opción en la ventana emergente de ayuda.

• Campo: el panel Campo está dividido en las siguientes secciones:

  • Los atributos de Anclado permiten filtrar los datos de log en función de los siguientes elementos:

    • Orígenes de log, como logs de base de datos, logs de Oracle WebLogic Server, etc.

    • Entidades de log, que son los nombres de archivos log reales.

    • Etiquetas, que son etiquetas agregadas a entradas de log cuando las entradas de log coinciden con condiciones definidas específicas.

    • Nombres de carga de los datos de log cargados bajo demanda.

    Por defecto, las entidades y los detalles de recopilación están disponibles en el cubo Anclado del panel Campos para filtrar. Puede anclar campos adicionales al cubo Anclado según su uso. Una vez anclados, los campos se mueven al cubo Anclado. Puede desanclar cualquier campo y eliminarlo del cubo Anclado y moverlo de nuevo al cubo Interesante u Otro.

  • En función de la búsqueda y las consultas, Oracle Log Analytics agrega automáticamente campos al cubo Interesante para su consulta rápida. Puede anclar un campo que esté disponible en el cubo Interesante. A continuación, el campo anclado se mueve al cubo Anclado.

  • Puede anclar cualquier campo del cubo Otros y moverlo al cubo Anclado. Si utiliza un campo del cubo Otros en la búsqueda o consulta, se mueve al cubo Interesante.

    Las opciones seleccionadas se agregan automáticamente a la consulta en la barra Buscar.

• Visualizar: en este panel, puede seleccionar cómo preferiría ver los resultados de la búsqueda. En el campo Agrupar por, puede decidir las métricas por las que agrupar los resultados.

• Guardar: utilice este botón para guardar la consulta de búsqueda que está actualmente en el campo Buscar, que se ejecutará posteriormente.

• Abrir: utilice este botón para ver las consultas de búsqueda guardadas anteriormente. Puede ejecutar estas consultas y obtener resultados actuales, o bien puede utilizarlas para crear paneles de control.

• Nuevo: utilice este botón para iniciar una nueva consulta de búsqueda.

• Exportar: utilice este botón para exportar el resultado de la consulta de búsqueda actual en un archivo con el formato Comma-separated Values(CSV) o JavaScript Object Notation(JSON).

• Ejecutar: utilice este botón para ejecutar la consulta que está actualmente en el campo Buscar.

• Selector de tiempo: utilice el selector de tiempo para especificar el período de tiempo.

• Panel de visualización: los resultados de la consulta de búsqueda se muestran en este panel. La información filtrada de este panel se carga cuando se ejecuta la consulta en el campo Buscar. Al hacer clic en cualquier área del gráfico en el panel de visualización, puede aumentar el detalle de la consulta de búsqueda y actualizarla.

Las consultas de cadena pueden incluir palabras clave y frases. Una palabra clave es una sola palabra (por ejemplo, database), mientras que una frase hace referencia a varias palabras, entre comillas simples (‘ ‘) o dobles (“ “) (por ejemplo, ‘database connection’). Si especifica una palabra clave o una frase en la consulta, todas las entradas de log que contengan la palabra clave o frase especificada se devuelven después de ejecutar la consulta.

El lenguaje de búsqueda de Oracle Logging Analytics también soporta la asignación de patrones especiales. En otras palabras, puede utilizar caracteres comodín, como el asterisco (*), el signo de interrogación (?) y el porcentaje (%), para completar palabras clave.

En la siguiente tabla se muestran los caracteres comodín soportados y se proporciona una breve descripción de cada uno de ellos.

Puede especificar varias palabras clave. Por ejemplo, database y connection. Se devuelven los logs que contengan las palabras database y connection (pero no necesariamente juntos). Sin embargo, estas palabras no tienen que aparecer necesariamente de forma consecutiva. Sin embargo, al incluir las palabras entre comillas e incluirlas en la cadena de consulta como frase (‘database connection’, por ejemplo), solo se devuelven los logs que contengan la frase ‘database connection’. Para ver cómo utilizar varias palabras clave, consulte Usar expresiones booleanas.

Al especificar una palabra clave o frase, recuerde lo siguiente:

• Las palabras clave y las cadenas de frases no distinguen entre mayúsculas y minúsculas.

• Las palabras clave que no están entre comillas deben contener solo caracteres alfanuméricos, de subrayado (_) y caracteres comodín (*, % y ?).

• Las búsquedas por palabra clave en las que la subcadena se podría interpretar como una directiva separada deben ser específicas entre comillas. Por ejemplo, para buscar la cadena and, tendrá que introducirla entre comillas simples (‘and’) para evitar que el sistema seleccione su significado booleano.

ORA-* AND message LIKE 'connection* error*'

ORA-* AND message LIKE IN ('tablesp*','connection* error*')

Los operadores de comparación son condiciones que se especifican para establecer una relación entre un campo y su valor. Los campos sin valores se consideran nulos.

En la siguiente tabla se muestran los operadores de comparación soportados y se proporciona una breve descripción de cada uno de ellos.

Utilice estos operadores para buscar logs con campos con valores específicos. Por ejemplo, especifique Severity=’ERROR’ para buscar en los logs disponibles donde el valor del campo Severity sea ERROR. Del mismo modo, Severity!=NULL devuelve todos los logs en los que el valor del campo Severity no sea nulo (es decir, donde se haya especificado la gravedad).

La función Buscar de Oracle Logging Analytics tiene las capacidades de LIKE y REGEX, según las convenciones estándar. Las expresiones booleanas pueden tener un valor true o false.

En la siguiente tabla se muestran las expresiones booleanas soportadas, junto con una breve descripción de cada una de ellas.

El lenguaje de búsqueda de Oracle Logging Analytics soporta expresiones booleanas anidadas dentro de otras expresiones booleanas. Por ejemplo, tenga en cuenta la siguiente consulta:

fatal ('order' OR host LIKE '*.oracle.com')

Al ejecutar esta consulta, se devuelven todos los logs que contengan fatal y que contengan la palabra clave order o que se hayan originado en un host cuyo nombre termina en .oracle.com.

Puede utilizar la interfaz de usuario de Oracle Logging Analytics para formular la consulta de búsqueda.

Por defecto, la consulta * | stats count by ‘log source’ se especifica en el campo Buscar.

Normalmente, el rango temporal seleccionado en Log Explorer no se incluye en la cadena de consulta. Puede especificar el rango de tiempo en la consulta mediante el modificador tiempo absoluto o tiempo relativo en el comando search.

Algunos ejemplos en los que se puede especificar un rango temporal en la consulta:

• Devuelva todos los logs de errores de ORA-600 detectados en las últimas 24 horas:

  Message like 'ORA-600%' and time > dateRelative(24h)

• Devuelva el recuento de logs para el destino de host myHost en los últimos 90 días:

  'Host Name (Server)' = myHost and Time > dateRelative(90day) | stats count as 'Num Host Logs'

time between '2014-07-15T16:24:51.000Z' and '2014-07-17T18:14:16.000Z'

time between toDate('2014-07-12', 'yyyy-MM-dd') and toDate('2014-07-15', 'yyyy-MM-dd')

time between * AND dateRelative(12h)

time > dateRelative(12h)

time > dateRelative(30min, hour)

time < dateAdd(toDate('2014-07-22', 'yyyy-MM-dd'), day, -10)

time > dateSet(toDate('2015-08-10', 'yyyy-MM-dd'), year, 2010, month, 6)

Las subconsultas permiten que la consulta secundaria proporcione un filtro dinámico a sus consultas principales. Las subconsultas se evalúan en primer lugar y el resultado se utiliza en la consulta principal.

• Puede anidar subconsultas entre sí, así como una consulta particular que tenga varias subconsultas en el mismo nivel.
• Por defecto, las subconsultas heredan el rango de tiempo global, pero puede sustituirlo mediante la sintaxis time between T1 and T2, si es necesario.
• Las subconsultas están restringidas para devolver solo las primeras 2.000 coincidencias como entrada a su principal. Los demás resultados se truncan.
• Tienen un timeout máximo de 30 segundos para terminar.
• Todos los campos devueltos por una subconsulta deben coincidir con los campos de la consulta principal por nombre. De lo contrario, se producirá un error.
• Solo puede utilizar subconsultas dentro de un comando de búsqueda.
• Puede utilizar todos los comandos dentro de una subconsulta, excepto cluster, clustersplit, clustercompare, fieldsummary, delete, classify, highlight y highlightrows.

Ejemplos:

• Crear un gráfico del tráfico a partir de la lista negra de IP con el tiempo:

  [searchlookup table=ip_blacklist | distinct ip | rename ip as 'host address'] | timestats count

• Enumerar los productos más comprados para los principales usuarios de un sitio de comercio electrónico:

  'Log Source'='WLS Access Logs' status=200 action=purchase ['Log Source'='WLS Access Logs' status=200 action=purchase | stats count by 'Host (Client Address)' | top limit=1 'Host(Client Address)' | fields -*, 'Host (Client Address)'] | lookup table=products select 'product name' using productid | stats count, distinctcount(productId), unique('product name') by 'Host (Client Address)'

• Buscar los 4 principales ID de procesos del sistema operativo con la suma más alta:

  [ *|stats sum('OS Process ID') as OSprocessidSum by 'OS Process ID' | top 4 OSprocessidSum | fields -OSprocessidSum ] | stats count by 'OS Process ID', 'Log Source', 'Host Name(Server)'

• Mostrar todos los logs del destino con los logs de gravedad más fatales:

  * and [ Severity = fatal | stats count by Target | top limit = 1 Count | fields -Count]