TP : Analyser avec ES|QL avec correction

Ce que vous allez apprendre dans ce TP

• Agréger avec STATS
• Calculer avec EVAL
• Découper le temps avec BUCKET

Introduction #

Ce que vous allez apprendre dans cette section

• Agréger avec STATS
• Calculer avec EVAL
• Découper le temps avec BUCKET

Contexte. Le responsable technique veut savoir quels hôtes servent le plus d'erreurs, à quelles heures, et quelle part du trafic vient des robots. Vous répondez avec ES|QL.

Prérequis : TP précédent terminé  ·  Durée estimée : 35 min

Des analyses complètes en une requête.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Première requête

   Pourquoi ? ES|QL se lit de haut en bas : source, filtre, agrégation, tri.

   Passez Discover en mode ES|QL et comptez les requêtes par pays d'origine.
   Voir la correction

   FROM kibana_sample_data_logs
   | STATS requetes = COUNT(*) BY geo.src
   | SORT requetes DESC
   | LIMIT 5

2. 2. Erreurs par hôte

   Pourquoi ? Le champ response est du texte : on le convertit pour comparer.

   Calculez le nombre et le taux d'erreurs (codes ≥ 500) par hôte.
   Voir la correction

   FROM kibana_sample_data_logs
   | EVAL code = TO_INTEGER(response.keyword), erreur = CASE(code >= 500, 1, 0)
   | STATS requetes = COUNT(*), erreurs = SUM(erreur) BY host.keyword
   | EVAL taux = ROUND(100.0 * erreurs / requetes, 2)
   | SORT taux DESC

   À savoir : Si un champ .keyword n'existe pas dans votre version du jeu de données, consultez son type dans la liste des champs et utilisez le champ principal.

3. 3. Profil horaire

   Pourquoi ? Repérer les heures de pointe aide à planifier les maintenances.

   Comptez les requêtes par tranche d'une heure sur les 7 derniers jours et affichez le résultat en graphique.
   Voir la correction

   FROM kibana_sample_data_logs
   | WHERE @timestamp > NOW() - 7 days
   | STATS requetes = COUNT(*) BY heure = BUCKET(@timestamp, 1 hour)
   | SORT heure

4. 4. Volume servi par extension

   Pourquoi ? EVAL permet de convertir des unités à la volée.

   Calculez le volume total servi en mégaoctets par extension de fichier.
   Voir la correction

   FROM kibana_sample_data_logs
   | STATS octets = SUM(bytes) BY extension.keyword
   | EVAL mo = ROUND(octets / 1048576.0, 1)
   | KEEP extension.keyword, mo
   | SORT mo DESC

Niveau de difficulté : ●●●○○ (3/5)