Rekomendasi untuk menggunakan kueri langsung di Amazon Service OpenSearch

Gunakan batasan pada kueri Anda untuk memastikan Anda tidak menarik terlalu banyak data kembali.

Jika Anda berencana untuk menganalisis kumpulan data yang sama berkali-kali, buat tampilan yang diindeks untuk sepenuhnya menyerap dan mengindeks data ke dalam OpenSearch dan menjatuhkannya ketika Anda telah menyelesaikan analisis.

Jatuhkan pekerjaan dan indeks akselerasi saat tidak lagi dibutuhkan.

Kueri yang berisi nama bidang yang identik tetapi berbeda hanya jika (seperti field1 danFIELD1) tidak didukung.

Misalnya, kueri berikut tidak didukung:

Select AWSAccountId, AwsAccountId from LogGroup
Select a.@LogStream, b.@logStream from Table A INNER Join Table B ona.id = b.id

Namun, kueri berikut didukung karena nama bidang (@logStream) identik di kedua grup log:

Select a.@logStream, b.@logStream from Table A INNER Join Table B on a.id = b.id

Fungsi dan ekspresi harus beroperasi pada nama bidang dan menjadi bagian dari SELECT pernyataan dengan grup log yang ditentukan dalam FROM klausa.

Misalnya, kueri ini tidak didukung:

SELECT cos(10) FROM LogGroup

Kueri ini didukung:

SELECT cos(field1) FROM LogGroup

Menyerap data ke Amazon S3 menggunakan format partisi tahun, bulan, hari, jam untuk mempercepat kueri.

Saat Anda membuat indeks skipping, gunakan filter Bloom untuk bidang dengan kardinalitas tinggi dan min/max indeks untuk bidang dengan rentang nilai yang besar. Untuk bidang kardinalitas tinggi, pertimbangkan untuk menggunakan pendekatan berbasis nilai untuk meningkatkan efisiensi kueri.

Gunakan Manajemen Status Indeks untuk mempertahankan penyimpanan untuk tampilan terwujud dan indeks penutup.

Saat mencari beberapa grup log dalam satu kueri, gunakan sintaks yang sesuai. Untuk informasi selengkapnya, lihat Fungsi grup multi-log.

Saat menggunakan perintah SQL atau PPL, lampirkan bidang tertentu di backticks agar berhasil menanyakannya. Backticks diperlukan untuk bidang dengan karakter khusus (non-alfabet dan non-numerik). Misalnya, lampirkan@message, Operation.Export, dan Test::Field di backticks. Anda tidak perlu melampirkan kolom dengan nama abjad murni di backticks.

Contoh kueri dengan bidang sederhana:

SELECT SessionToken, Operation, StartTime  FROM `LogGroup-A`
LIMIT 1000;

Kueri serupa dengan backticks ditambahkan:

SELECT `@SessionToken`, `@Operation`, `@StartTime` FROM `LogGroup-A`
LIMIT 1000;

Periksa status Security Lake Anda dan pastikan itu berjalan lancar tanpa masalah. Untuk langkah-langkah pemecahan masalah mendetail, lihat Memecahkan masalah status data lake di Panduan Pengguna Amazon Security Lake.

Verifikasi akses kueri Anda:

Jelajahi template kueri dan dasbor pra-bangun untuk memulai analisis Anda.

Biasakan diri Anda dengan Open Cybersecurity Schema Framework (OCSF) dan Security Lake:

Dapatkan kenyamanan dengan sintaks SQL, yang didukung Security Lake untuk kueri. Untuk informasi selengkapnya, lihat Perintah dan OpenSearch fungsi SQL yang didukung.