マップ・ビジュアル化
Oracle Logging Analyticsのマップ・ビジュアライゼーションを使用して、ログの収集元の場所によってグループ化されたログ・レコードを表示できます。
- ログ・エクスプローラで、「ビジュアル化」パネルから「マップ」(
)を選択します。これにより、ログ・レコードを「クライアント座標」、「クライアント・ホスト大陸」、「クライアント・ホスト国」、「クライアント・ホスト市区町村」および「クライアント・ホスト・リージョン」でグループ化できるワールド・マップが表示されます。次の例は、1,195の場所からログレコードが収集されるマップを示しています。
ビジュアライゼーションの下では、警告アイコンとヒントは、表示されているデータよりも多くのデータが使用可能であることを示します。「参照済」セクションのフィールドのいずれかを使用して、使用可能なデータをフィルタできます。たとえば、前述のデータで、大陸
Asiaからのログのみを表示するフィルタを適用した場合、問合せは選択を反映して更新されます。これを行うには、「参照済」セクションの「クライアント・ホスト大陸」フィールドの横にある「アクション」アイコンをクリックし、「フィルタ」をクリックして、「クライアント・ホスト大陸のフィルタ」ダイアログ・ボックスでAsiaのチェック・ボックスを有効にし、「適用」をクリックします。 - ユース・ケースのビジュアライゼーションをカスタマイズするには、「マップ・オプション」アイコン
をクリックします。 -
色マップの表示: デフォルトでは、色マップは有効です。グレースケール マップの表示を選択できます。
-
凡例の表示: ログ・レコード・サイズおよびグループ数のサマリーが表示されます。
-
点の色: ログ・レコードの収集元の場所を表す点の色を選択します。
-
付近のポイントの結合: 場所の数が多く、ポイント数を減らす場合は、付近のポイントを組み合せてビューを簡略化できます。
-
結合された点の色: 結合された点を表す点の色を選択します。
-
ズームでのフィルタ: このオプションを有効にすると、長方形のズームで選択した領域に焦点を当てた新しい問合せが実行されます。
-
マウスホイールの有効化: ビジュアライゼーション領域内のマウスホイールを使用して、マップをズーム・インまたはズーム・アウトします。
-
- 分析をマップの特定の領域にフォーカスするには、「矩形ズーム」アイコン
をクリックして、目的の領域を選択します。次に、マップが自動的に調整され、リージョンにフォーカスが移ります。マップ・オプションで「ズームでフィルタ」オプションを有効にした場合は、選択した領域のログ・レコードをフィルタする新しい問合せが実行されます。
geostatsコマンドを使用したジオロケーションの指定
マップ・ビジュアライゼーションでは、地理位置座標を使用して、マップに集計結果を表示します。これらの座標は、IPアドレス・フィールドに基づいて、ログの取込み中にエンリッチされます。ただし、すべてのIPアドレスに有効な座標フィールドがあるとはかぎりません。デフォルトのエンリッチメントが正しくないか、情報が欠落している場合に、独自の座標を指定できるようになりました。
geostatsコマンドの include=customオプションを使用して、位置情報を含むフィールドを指定します。「座標」を指定する必要があります。オプションで、「市区町村」、「国」および「大陸」を指定することもできます。次に、by句で「座標」フィールドを使用する必要があります。
次に、eval文を使用してこれらの値を指定する例を示します。
'Log Source' = 'OCI VCN Flow Unified Schema Logs'
| eval 'Source Coordinates' = if('Source IP' in ('10.0.3.188', '10.0.0.7'), '42.5,-83.23',
'Source IP' = '129.146.13.236', '32.72,-96.68',
null)
| eval 'Source City' = if('Source Coordinates' = '42.5,-83.23', southfield,
'Source Coordinates' = '32.72,-96.68', dallas,
null)
| geostats include = custom city = 'Source City' coordinates = 'Source Coordinates'
count by 'Source IP', 'Source Coordinates'
参照を使用した地理的位置の指定
evalを使用するかわりに、単純参照またはディクショナリ参照を使用して、地理的位置の値を指定できます。ディクショナリ・ルックアップの例を次に示します。
Operator,Condition,Coordinates,City
CIDRMATCH,10.0.3.1/24,"42.5,-83.23",Southfield
CIDRMATCH,129.146.13.1/24,"32.72,-96.68",Dallasその後、問合せで参照を使用できます。
'Log Source' = 'OCI VCN Flow Unified Schema Logs'
| lookup table = 'Custom Coordinates' select Coordinates as 'Source Coordinates', City as 'Source City' using 'Source IP'
| geostats include = custom city = 'Source City' coordinates = 'Source Coordinates'
count by 'Source IP', 'Source Coordinates'ディクショナリ・ルックアップの作成を参照してください。
マップでのカスタム色の使用
マップ・ビジュアライゼーションでは、カスタム色を使用してフィールドの様々な値を識別できます。フィールドは、設定の「グループ化基準」セクションに含まれている必要があります。問合せのgeostatsコマンドの後にhighlightgroupsコマンドを使用して、カスタム色を指定します。
次の例では、「アクション」フィールドが「グループ化基準」セクションに含まれています。その結果、geostatsコマンドは「アクション」フィールドで更新されます。次に、問合せが編集され、「アクション」の特定の値に対応する色がマップに表示されるように、highlightgroupsコマンドが色指定とともに追加されます:
| 「アクション」フィールドの値 | 表示色 |
|---|---|
reject |
赤 |
accept, allow, alert |
緑 |
drop |
青 |
前述の変更後の問合せの例:
'Client Coordinates' != null and Action != null | geostats count by Action | highlightgroups color = red [ * | where Action = reject ] | highlightgroups color = green [ * | where Action in (accept, allow, alert) ] | highlightgroups color = blue [ * | where Action in (drop) ] | sort -Action前述の問合せの実行時のマップ・ビジュアライゼーションの例:
