获取实时查询 API
编辑获取实时查询 API编辑
[预览] 此功能处于技术预览阶段，可能会在未来版本中更改或删除。Elastic 将努力修复任何问题，但技术预览中的功能不受官方 GA 功能的支持 SLA 的约束。 获取实时查询。
请求编辑
GET <kibana 主机>:<端口>/api/osquery/live_queries
GET <kibana 主机>:<端口>/s/<空间 ID>/api/osquery/live_queries
路径参数编辑
-
space_id - （可选，字符串）空间的标识符。如果 URL 中未提供
space_id，则使用默认空间。
查询参数编辑
-
page - （可选，整数）要返回的页码。默认值为
1。 -
pageSize - （可选，整数）每页返回的规则数。默认值为
20。 -
sort -
（可选，字符串）用于对结果进行排序的字段。选项包括
createdAt或updatedAt。默认值为createdAt。即使 JSON 案例对象使用
created_at和updated_at字段，您也必须在 URL 查询中使用createdAt和updatedAt字段。 -
sortOrder - （可选，字符串）指定排序顺序。选项包括
desc或asc。默认值为desc。
响应代码编辑
-
200 - 表示调用成功。
示例编辑
检索最后 10 个实时查询
$ curl -X GET api/osquery/live_queries?page=1&perPage=10
API 返回检索到的实时查询的 JSON 对象
{
"page": 1,
"per_page": 10,
"total": 11,
"data": [
{
"action_id": "3c42c847-eb30-4452-80e0-728584042334",
"expiration": "2022-07-26T10:04:32.220Z",
"@timestamp": "2022-07-26T09:59:32.220Z",
"agents": ["16d7caf5-efd2-4212-9b62-73dafc91fa13"],
"user_id": "elastic",
"queries": [
{
"action_id": "609c4c66-ba3d-43fa-afdd-53e244577aa0",
"id": "6724a474-cbba-41ef-a1aa-66aebf0879e2",
"query": "select * from uptime;",
"saved_query_id": "42ba9c50-0cc5-11ed-aa1d-2b27890bc90d",
"ecs_mapping": {
"host.uptime": {
"field": "total_seconds"
}
},
"agents": ["16d7caf5-efd2-4212-9b62-73dafc91fa13"],
}
],
},
{...}
]
}