F\u00fcr die sp\u00e4tere Auswertung ist f\u00fcr uns eigentlich nur die Quelle und das Ziel wichtig. Diese Daten sendet der Agent an den Workspace und wir m\u00fcssen diese noch normalisieren. Der Rechner, auf den zugegriffen wurde, ist sauber als Eintrag erfasst. Jedoch versteckt sich das Quellsystem in der Eventlog Beschreibung. <\/p>\n\n\n\n
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild18-LAWS-Reporting-608x179.png\")
<\/a>Um hier den Namen oder die IP Adresse zu extrahieren, gehen wir oben auf die drei Punkte und w\u00e4hlen „Extract field from Event“.<\/p>\n\n\n\n
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild19-LAWS-Reporting.png\")
Im Editor f\u00fcr Custom Fields suchen wir uns im Field Name die RenderedDescription. Im Value markieren wir die Client Address oder den Namen, vergeben dem Feld einen Namen und klicken auf Extract.<\/p>\n\n\n\n
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild20-LAWS-Reporting-608x586.png\")
In den Search Results finden wir nun alle Vorschl\u00e4ge der Extrahierung \u00fcber alle vorhandenen Eintr\u00e4ge. Es kann vorkommen, dass Clients mit dem Namen oder der IP Adresse in der Ereignisbeschreibung stehen. <\/p>\n\n\n\n
Wir pr\u00fcfen, ob die Vorschl\u00e4ge f\u00fcr uns passen und klicken „Save extraction“. Die neuen Events werden nun mit dem neuen Filter und Custom Field in die Datenbank eingetragen. Wenn wir alle notwendigen Informationen haben, k\u00f6nnen wir die Query f\u00fcr PowerBI exportieren.<\/p>\n\n\n\n Integriert wird die Query in PowerBI \u00fcber Get Data und einer Blank Query. Im Advanced Editor f\u00fcgen wir die Query ein und best\u00e4tigen mit Done. <\/p>\n\n\n\n Im letzten Schritt m\u00fcssen wir noch einmal die Credentials f\u00fcr unseren Log Analytics Workspace eingeben. Mit Close & Apply bitte den Editor schlie\u00dfen.<\/p>\n\n\n\n Sobald wir die Informationen in einem Dashboard visualisiert haben, k\u00f6nnen wir das Dashboard in unseren Workspace ver\u00f6ffentlichen und t\u00e4glich aktualisieren. Notwendig ist daf\u00fcr eine PowerBI Pro Lizenz.<\/p>\n\n\n\n Beginnen wir nun mit der gezielten Abschaltung auf den Quellsystemen.
Nun werden alle neuen Log Eintr\u00e4ge mit dem Custom Field gef\u00fcllt. Alle vorhandenen Eintr\u00e4ge werden nicht aktualisiert.<\/p>\n\n\n\n![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild21-LAWS-Reporting-608x515.png\")
<\/a>
Bauen wir uns nun die Query mit den notwendigen Feldern zusammen.<\/p>\n\n\n\nEvent
| where TimeGenerated > ago(30d)
| where EventID == 3000
| project Computer, TimeGenerated, SourceClient_CF
| sort by TimeGenerated asc <\/pre>\n\n\n\n![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild22-LAWS-Reporting-608x410.png\")
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild23-LAWS-Reporting-608x122.png\")
<\/a>![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild24-LAWS-Reporting-608x400.png\")
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild25-LAWS-Reporting.png\")
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild26-LAWS-Reporting-608x282.png\")
<\/a><\/figure><\/div>\n\n\n\n![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild27-LAWS-Reporting-608x267.png\")
<\/a>
Das Sch\u00f6ne an den Dashboards ist, dass sobald wir einen Wert anklicken, automatisch alle weiteren Visualisierungen auf diesen Wert angepasst werden. <\/p>\n\n\n\n
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild28-LAWS-Reporting-608x390.png\")
<\/a>![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild29-LAWS-Reporting-608x174.png\")
![\"\"](\"https:\/\/vwww6.softed.de\/softed\/wp-content\/uploads\/2020\/03\/Bild30-LAWS-Reporting-608x525.png\")
<\/a>