创建已保存查询 API
编辑创建已保存查询 API
编辑[预览] 此功能为技术预览版，可能会在未来的版本中更改或删除。Elastic 将努力解决任何问题，但技术预览版中的功能不受官方 GA 功能的支持 SLA 的约束。 创建已保存的查询。
请求
编辑POST <kibana 主机>:<端口>/api/osquery/saved_queries
POST <kibana 主机>:<端口>/s/<空间 ID>/api/osquery/saved_queries
路径参数
编辑-
space_id - （可选，字符串）空间标识符。当 URL 中未提供
space_id时，将使用默认空间。
请求正文
编辑-
id - （必需，字符串）已保存查询的名称。
-
description - （可选，字符串）已保存查询的描述。
-
platform - （可选，字符串）将查询限制为指定的平台。默认值为所有平台。要指定多个平台，请使用逗号分隔。例如，linux,darwin。
-
query - （必需，字符串）您要运行的 SQL 查询。
-
version - （可选，字符串）使用大于或等于指定版本字符串的 Osquery 版本。
-
interval - （可选，字符串）运行查询的间隔（以秒为单位）。
-
ecs_mapping - （可选，对象）将 Osquery 结果列或静态值映射到 ECS 字段。
-
timeout - （可选，数字）超时时间段（以秒为单位），超过此时间后查询将停止运行。覆盖默认超时时间可以支持需要更多时间才能完成的查询。默认值和最小支持值为
60。最大支持值为900。
响应代码
编辑-
200 - 指示调用成功。
示例
编辑创建已保存的查询
$ curl -X POST api/osquery/saved_queries \
{
"id": "saved_query_id",
"description": "Saved query description",
"query": "select * from uptime;",
"interval": "60",
"timeout": 120,
"version": "2.8.0",
"platform": "linux,darwin",
"ecs_mapping": {
"host.uptime": {
"field": "total_seconds"
}
}
}
API 返回已保存的查询对象
{
"data": {...}
}