创建保存的查询 API
编辑创建保存的查询 API编辑
[预览] 此功能处于技术预览阶段，可能会在将来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览中的功能不受官方 GA 功能的支持 SLA 的约束。 创建保存的查询。
请求编辑
POST <kibana 主机>:<端口>/api/osquery/saved_queries
POST <kibana 主机>:<端口>/s/<空间 ID>/api/osquery/saved_queries
路径参数编辑
-
space_id - (可选，字符串) 空间标识符。当 URL 中未提供
space_id时，将使用默认空间。
请求主体编辑
-
id - (必需，字符串) 保存的查询名称。
-
description - (可选，字符串) 保存的查询描述。
-
platform - (可选，字符串) 将查询限制为指定的平台。默认值为所有平台。要指定多个平台，请使用逗号分隔。例如，linux,darwin。
-
query - (必需，字符串) 要运行的 SQL 查询。
-
version - (可选，字符串) 使用大于或等于指定版本字符串的 Osquery 版本。
-
interval - (可选，字符串) 运行查询的间隔（以秒为单位）。
-
ecs_mapping - (可选，对象) 将 Osquery 结果列或静态值映射到 ECS 字段。
-
timeout - (可选，数字) 超时时间段（以秒为单位），超过该时间段，查询将停止运行。覆盖默认超时时间允许您支持需要更多时间才能完成的查询。默认值和最小支持值为
60。最大支持值为900。
响应代码编辑
-
200 - 表示调用成功。
示例编辑
创建保存的查询
$ curl -X POST api/osquery/saved_queries \
{
"id": "saved_query_id",
"description": "Saved query description",
"query": "select * from uptime;",
"interval": "60",
"timeout": 120,
"version": "2.8.0",
"platform": "linux,darwin",
"ecs_mapping": {
"host.uptime": {
"field": "total_seconds"
}
}
}
API 返回保存的查询对象
{
"data": {...}
}