› › ›

获取实时查询 API

编辑

获取实时查询 API

编辑

[预览] 此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 约束。获取实时查询。

请求

编辑

GET <kibana 主机>:<端口>/api/osquery/live_queries

GET <kibana 主机>:<端口>/s/<空间 ID>/api/osquery/live_queries

路径参数

编辑

space_id: (可选，字符串) 空间的标识符。当 URL 中未提供 space_id 时，将使用默认空间。

查询参数

编辑

page: (可选，整数) 要返回的页码。默认值为 1。
pageSize: (可选，整数) 每页返回的规则数。默认值为 20。
sort: (可选，字符串) 用于对结果进行排序的字段。选项包括 createdAt 或 updatedAt。默认值为 createdAt。

尽管 JSON case 对象使用 created_at 和 updated_at 字段，您必须在 URL 查询中使用 createdAt 和 updatedAt 字段。
sortOrder: (可选，字符串) 指定排序顺序。选项包括 desc 或 asc。默认值为 desc。

响应代码

编辑

200: 表示调用成功。

示例

编辑

检索最近的 10 个实时查询

$ curl -X GET api/osquery/live_queries?page=1&perPage=10

API 返回检索到的实时查询的 JSON 对象

{
  "page": 1,
  "per_page": 10,
  "total": 11,
  "data": [
    {
      "action_id": "3c42c847-eb30-4452-80e0-728584042334",
      "expiration": "2022-07-26T10:04:32.220Z",
      "@timestamp": "2022-07-26T09:59:32.220Z",
      "agents": ["16d7caf5-efd2-4212-9b62-73dafc91fa13"],
      "user_id": "elastic",
      "queries": [
        {
          "action_id": "609c4c66-ba3d-43fa-afdd-53e244577aa0",
          "id": "6724a474-cbba-41ef-a1aa-66aebf0879e2",
          "query": "select * from uptime;",
          "saved_query_id": "42ba9c50-0cc5-11ed-aa1d-2b27890bc90d",
          "ecs_mapping": {
            "host.uptime": {
              "field": "total_seconds"
            }
          },
          "agents": ["16d7caf5-efd2-4212-9b62-73dafc91fa13"],
        }
      ],
    },
    {...}
  ]
}

« 获取实时查询 API 获取实时查询结果 API »