S'applique À : WatchGuard Advanced EPDR
L'outil Requête SQL Avancée vous permet de rechercher des événements spécifiques d'un ordinateur sélectionné ou d'un autre ordinateur de votre réseau. Vous pouvez utiliser l'outil Requête SQL Avancée pour examiner la télémétrie enregistrée au cours des sept derniers jours.
Pour utiliser l'outil Requête SQL Avancée, vous devez savoir comment utiliser le langage de requête structuré (SQL) et comprendre le schéma de la base de données utilisée par Endpoint Security.
Votre rôle d'opérateur détermine ce que vous pouvez afficher et faire dans WatchGuard Cloud. Votre rôle doit disposer de la permission Ajouter, Découvrir et Supprimer des Ordinateurs pour afficher ou configurer cette fonctionnalité. Pour de plus amples informations, accédez à Gérer les Opérateurs et Rôles de WatchGuard Cloud.
Pour ouvrir l'outil Requête SQL Avancée, à partir de l'UI de gestion d'Endpoint Security :
- Pour ouvrir les détails de l'ordinateur, sélectionnez Ordinateurs puis sélectionnez un ordinateur.
- Dans l'onglet Enquête, cliquez sur
. - Sélectionnez Requête SQL Avancée.
L'outil Requête SQL Avancée s'ouvre.
L'outil Requête SQL Avancée se compose de différentes sections, à savoir :
- Requêtes — Permet d'afficher et de sélectionner les tables et le modèle de données.
- Requête SQL Avancée — Permet de créer des requêtes.
- Résultats — Affiche les résultats des requêtes.
Section Requêtes
La section Requêtes de l'outil présente le modèle de données employé pour organiser les informations collectées par la surveillance des processus.
Vous pouvez utiliser les tables et les champs figurant dans cette section pour créer des requêtes. Cliquez sur un champ pour le copier dans la section Requête SQL Avancée à l'endroit indiqué par le curseur.
Section Requête SQL Avancée
La section Requête SQL Avancée comprend un éditeur qui vous permet de créer et d'exécuter des requêtes SQL avancées.
Pour exécuter des requêtes SQL avancées :
- Dans l'éditeur de requête, spécifiez la requête SQL que vous souhaitez exécuter.
- Pour exécuter la requête, cliquez sur
.
Pour plus d'informations sur la syntaxe SQL, accédez à Syntaxe SQL de Requête Avancée.
Section Résultats
La section Résultats affiche les résultats de votre requête SQL sous forme de table.
Dans la section Résultats, vous pouvez effectuer ces actions :
- Afficher les détails de l'événement
- Définir des groupes de lignes
- Rechercher et filtrer les résultats
Afficher les Détails de l'Événement
Dans la section Résultats, vous pouvez afficher la télémétrie d'un ordinateur dans le tableau des résultats.
Pour afficher les détails de l'événement pour n'importe quel élément de la liste :
- Cliquez sur
puis sélectionnez Enquêter sur l'Ordinateur.
La boîte de dialogue Enquêter sur l'Ordinateur s'ouvre. - Cochez la case à cocher de l'identifiant que vous souhaitez utiliser pour identifier l'ordinateur puis saisissez la valeur requise dans la zone de texte :
- MUID
- MD5
- MUID + MD5
- Nom de l'Ordinateur
- Cliquez sur OK.
Une nouvelle page s'ouvre avec les détails de l'événement pour l'ordinateur spécifié.
Définir des Groupes de Lignes
Dans la section Résultats, pour faciliter l'analyse des détails, vous pouvez créer des groupes d'éléments en fonction des valeurs d'une colonne sélectionnée.
Pour créer des groupes :
- Faites glisser une colonne dans la barre Faire Glisser Ici pour Définir des Groupes de Lignes. Par exemple, vous pouvez faire glisser la colonne Date.
Des groupes sont créés pour la colonne sélectionnée.
- (Facultatif) Pour créer des groupes pour d'autres colonnes à l'intérieur des groupes existants, faites glisser des colonnes supplémentaires dans la barre Faire Glisser Ici pour Définir des Groupes de Lignes. Par exemple, faites glisser la colonne Action à côté de la colonne Date.
Des sous-groupes sont créés au sein des groupes existants.
Rechercher et Filtrer les Résultats
Dans la section Résultats, vous pouvez rechercher un paramètre spécifique dans la table Résultats. Vous pouvez également filtrer les résultats en fonction des données d'une colonne spécifique.
Pour rechercher un paramètre spécifique :
- Saisissez du texte dans la zone Recherche. La recherche correspond au texte dans toutes les informations renvoyées par la requête SQL.
Pour filtrer la table Résultats :
- Cliquez sur Filtres.
Les options de filtrage apparaissent. - Développez l'option que vous souhaitez utiliser pour filtrer le tableau.
- Cochez et décochez les cases à cocher des données que vous souhaitez afficher ou masquer dans la table Résultats. Par défaut, toutes les cases à cocher sont sélectionnées.
La table Résultats s'actualise et les résultats filtrés s'affichent dans la liste.
Pour de plus amples informations concernant le type d'événements, accédez à Champs des Événements Reçus par Cytomic Orion (lien externe).
Syntaxe SQL de Requête Avancée
À Propos de l'Outil Requête SQL Avancée
Sélectionner la Syntaxe de Clause