1. À quoi sert Investigations ? #
Une enquête structurée sur les données.
Le principe #
Investigations permet de mener une enquête fondée sur des preuves à partir des données de Grail : logs, métriques et traces. Là où un notebook enchaîne des requêtes, Investigations garde la démarche : chaque requête, chaque filtre, chaque preuve retenue. L'app s'appelait auparavant Security Investigator ; elle est préinstallée dans tous les environnements SaaS depuis la version 1.330.
Pour qui ? #
| Usage | Exemple |
|---|---|
| Incident et cause racine | Comprendre une vague d’erreurs 500 |
| Threat hunting, forensique | Retrouver les actions d’une adresse IP suspecte |
| Fraude | Repérer des transactions anormales |
| Cloud | Analyser CloudTrail, API Gateway, AWS Secrets |
2. Mener une enquête #
Les fonctions, pas à pas.
Démarrer #
- Ouvrez Investigations, puis sélectionnez Investigation pour créer un scénario.
- Fixez la plage de temps, puis écrivez une première requête DQL.
- Filtrez, extrayez les champs utiles, enrichissez les résultats.
- Ajoutez les éléments probants aux preuves, puis partagez l'enquête.
fetch logs, from: now() - 2h
| filter loglevel == "ERROR"
| filter matchesPhrase(content, "connection refused")
| summarize erreurs = count(), by: {dt.entity.host, k8s.namespace.name}
| sort erreurs descUne enquête est enregistrée automatiquement ; vous pouvez la renommer, la partager et passer de l'une à l'autre.
Les fonctions clés #
| Fonction | Rôle |
|---|---|
| Requêtes DQL | Interroger Grail, avec filtres et plage de temps |
| DPL Architect | Extraire des champs d’un log brut avec le langage DPL |
| IP enrichment | Réputation d’une adresse IP auprès de fournisseurs de renseignement tiers |
| Lookup tables | Tables stockées dans Grail pour enrichir les résultats |
| Query tree | Arbre de la démarche : revenir à une étape précédente |
| Evidence | Conserver les preuves avec leur contexte |
| Collaboration | Partage contrôlé, signets, duplication, modèles d’enquête |
Prérequis #
- Des logs ingérés dans Grail.
- Les permissions indiquées dans Hub > Investigations > Technical information.
- Des bases en DQL et en DPL : voir le chapitre Grail de cette formation.
Notebook ou Investigations ? Le notebook sert à explorer et documenter librement ; Investigations sert quand il faut prouver et transmettre : incident majeur, enquête de sécurité, audit.
Sources #
D'après la documentation officielle consultée en novembre 2026. La requête est un exemple à adapter à vos champs.
