Grafana 仪表盘中的 KQL 查询可视化

使用 IBM 安全 QRadar® 套件 KQL 插件运行 Kusto 查询语言 (KQL) 查询，针对您的 IBM 安全 QRadar 套件 KQL 实例。
Grafana 仪表盘面板显示您的查询结果。
该 Grafana 插件发行版还包括示例仪表盘 JSON。

有关插件的更多信息，请参阅 IBM 安全 QRadar 套件 KQL 插件用户文档。
有关 KQL 查询的更多信息，请参阅 Kusto 查询语言 (KQL) 概述。

在 Grafana 中配置 IBM 安全 QRadar 套件数据源

在您的 Grafana 实例中配置 IBM 安全 QRadar 套件外部数据源以与 IBM 安全 QRadar 套件通信。

开始之前

请验证 IBM 安全 QRadar 套件 KQL 插件已安装。

1. 在您的 Grafana 实例中，从导航菜单中，点击管理 > 插件。
2. 在搜索字段中，输入 IBM 安全 QRadar 套件。您的 IBM 安全 QRadar 套件 KQL 插件状态将显示。
3. 有关 IBM 安全 QRadar 套件 KQL 插件的更多信息，请点击 IBM 安全 QRadar 套件图块。
4. 要配置 Grafana 中的 IBM 安全 QRadar 套件数据源，您必须完成以下任务
   • 从您的 IBM 安全 QRadar 套件实例中获取您的 IBM 安全 QRadar 套件 KQL 集群 URL。
   • 与 IBM 安全 QRadar 套件管理员合作，获取 IBM 安全 QRadar 套件 Grafana 用户 API 密钥和用户 API 密码。
   • 与 IBM 安全 QRadar 套件管理员合作，获取 IBM 安全 QRadar 套件帐户 ID。

过程

1. 在您的 Grafana 实例中，从导航菜单中，点击管理 > 数据源。
2. 在数据源页面上，点击添加新数据源。
3. 在按名称或类型筛选字段中，输入 IBM 安全 QRadar 套件，然后选择 IBM 安全 QRadar 套件图块。
4. 在主机字段中，输入您的 IBM 安全 QRadar 套件 KQL 集群 URL。
5. 在API密钥字段中，输入您的IBM Security QRadar Suite Grafana用户API密钥。
6. 在API密钥（密钥）字段中，输入您的IBM Security QRadar Suite Grafana用户API密钥。
7. 在账户ID字段中，输入您的IBM Security QRadar Suite账户ID。
8. 点击保存并测试。如果配置成功，将显示“数据源正在工作”消息。

导入示例仪表板

预构建仪表板的JSON文件可在IBM Security QRadar Suite KQL数据源配置页面上找到。
使用示例仪表板作为创建您自己的仪表板的参考。

关于此任务

如果您更改了示例仪表板，系统将提示您保存或覆盖更改。
如果您想将更改保存到新的仪表板，请点击“另存为”。否则，您的更改将丢失。

重要

如果您保存了示例仪表板的副本，仪表板数据链接URL中的唯一标识符（UID）值将改变。
您必须更新任何引用您已保存的仪表板的仪表板的数据链接URL中的UID值和名称。
有关更多信息，请参阅配置数据链接。

过程

1. 在您的 Grafana 实例中，从导航菜单中，点击管理 > 数据源。
2. 在数据源页面，从表中选择IBM Security QRadar Suite数据源。
3. 在IBM Security QRadar Suite页面，点击仪表板标签。
4. 找到您想要导入的示例仪表板的行，然后点击导入。
5. 从导航菜单中，点击仪表板图标。
6. 在仪表板页面，点击您导入的示例仪表板。示例仪表板将显示。