2. Ricerca nei log

La pagina Query → Ricerca Log interroga l'archivio con parametri liberi. È il punto in cui si passa da avere i dati a servirsene.

2.1 Scegliere il tipo di ricerca

Il menu Tipo di ricerca cambia la natura dell'interrogazione.

Tipo	Cosa cerca
Ricerca Libera	Tutti i log, filtrati con i parametri sottostanti
Login/Logout	Solo gli eventi di accesso e disconnessione
Operazioni su file in locale	Solo le operazioni sui file delle postazioni
Operazioni sulle condivisioni	Solo le operazioni sulle cartelle di rete

Le tre ricerche specializzate presentano i risultati già organizzati per quel tipo di evento: conviene usarle quando la domanda è di quel genere, invece di filtrare a mano una ricerca libera.

2.2 Filtri sorgente

Filtro	Note
Locazione	L'azienda in cui cercare
Host	Il dispositivo, o Tutti gli host
Stringa di ricerca	Il testo che il messaggio deve contenere
Livello Log	La gravità minima o esatta
Applicazione	Il programma che ha prodotto l'evento
Cyber Intelligence	Se considerare o ignorare gli indicatori

I livelli disponibili seguono la scala syslog, dal più grave al più prolisso: Critical, Alert, Error, Warning, Notice, Info, Debug, oltre a Tutti.

Filtrare per applicazione

Sui volumi reali la stringa di ricerca da sola restituisce troppo. Sapere quale applicazione produce l'evento che interessa — e quel nome si legge nella colonna Applicazione dei risultati e nel report giornaliero — restringe il campo molto più di qualsiasi parola chiave.

2.3 Intervallo temporale e opzioni

I campi Dal e Al delimitano il periodo. Righe per pagina stabilisce quanti risultati mostrare per volta, e Ordinamento se partire dai Log più recenti o dai Log più vecchi.

Restringere il periodo prima di allargare la ricerca

Su un archivio che contiene mesi di dati, una ricerca senza filtri su un intervallo ampio impegna l'appliance a lungo per restituire un risultato inutilizzabile. Parti da un intervallo stretto attorno al momento che ti interessa e allargalo solo se serve.

2.4 Template di ricerca

Ogni ricerca può essere salvata come template. Il pulsante Salva come template memorizza l'intera combinazione di filtri impostata e le assegna un nome; da quel momento la ricerca torna disponibile nel menu accanto e si richiama con un clic. Reset filtri riporta tutto ai valori iniziali.

Il vantaggio non è solo di risparmiare qualche clic. Un template permette di dare un nome comprensibile a una ricerca che altrimenti è solo una combinazione di parametri: accessi amministrativi fuori orario, modifiche alla cartella amministrazione, errori del gestionale. Chi la richiama mesi dopo, o un collega che non l'ha costruita, capisce a cosa serve senza dover interpretare i filtri.

È lo strumento adatto quando l'azienda ha necessità di rendicontazione ricorrenti: una serie di eventi da verificare a cadenza fissa — settimanale, mensile, a ogni chiusura — oppure ogni volta che si presenta una certa segnalazione. Si costruisce la ricerca una volta sola, con la cura che merita, e la si riesegue cambiando soltanto l'intervallo temporale.

Quando definire un template

Una ricerca costruita con calma, con i filtri giusti su applicazione e livello, è molto più precisa di una improvvisata mentre si sta rincorrendo un problema. Salvarla come template significa avere quella precisione disponibile anche nel momento in cui si va di fretta.

2.5 Leggere i risultati

I risultati sono una tabella con Livello, Host, Giorno, Ora, Applicazione e Messaggio. In alto è indicato quanti risultati sono mostrati sul totale trovato.

Ogni colonna ha un proprio campo di filtro sopra l'intestazione: si può quindi restringere ulteriormente senza rifare la ricerca da capo.

Il menu Opzioni di esportazione in alto a destra permette di portare fuori i risultati.

Accesso dalla scheda asset e dalla dashboard

Questa stessa vista si apre facendo clic sui conteggi nella scheda di un asset o sui riquadri della dashboard: in quel caso i filtri sono già impostati su dispositivo e livello, e il titolo della pagina lo ricorda.