智能查询

智能查询把一句自然语言问题翻译为 AQL，在 QRadar 上执行 Ariel 搜索，返回一张结果表。它是登录后的首页，所有版本都可以使用。

查询的处理过程

网关先判断问题涉及的时间范围、统计维度和需要的 Ariel 函数，再让模型生成 AQL。查询事件还是网络流由输入框左侧的开关决定，不由模型判断。生成的 AQL 经过只读校验，只允许单条 SELECT … FROM events 或 SELECT … FROM flows，并补上 LIMIT 和时间窗。

校验通过后，网关在 Ariel 上创建一个搜索并立即取消，作为预检。Console 返回 422 时，错误信息返回给模型修正一轮。

发送给模型的数据先按 系统设置 中的脱敏档位处理。云端模式下，发给模型的 IP、账号等值替换为占位符，例如 10.30.x.x。结果表显示 Ariel 返回的原值。

运行查询

前提条件

• Token 的安全配置文件覆盖要查询的日志源。参见 Token 权限。

步骤

1. 在输入框左侧选择 事件 或 网络流。查询字节数、目的端口、内外网通信时选择 网络流。
2. （可选）选择时间范围。不选择时使用最近 60 分钟，由 RST_AQL_DEFAULT_WINDOW_MINUTES 设置。
3. 输入问题并发送，例如「最近 1 小时登录失败最多的 10 个源 IP」。

生成过程中，卡片依次显示理解问题、生成 AQL、执行三个阶段。使用思考模型时，推理内容折叠在 AI 在想 中。

结果卡头部显示数据源、命中数或统计行数、耗时、token 用量和 可信度。可信度为 高 时，结果可以直接使用。为 中 时，展开生成的 AQL 核对条件。为 低 时，通常需要换一种问法。

问题中写了时间，同时又选择了时间范围时，查询取两者的交集，卡片上注明取值方式。

首页的起始问题分六类，每类四个问法，选择即发送。

核对和修改生成的 AQL

步骤

1. 在结果卡片下方，选择 查看生成的 AQL。
2. 选择 编辑，修改 AQL 后执行。

修改过的查询在卡片上标记为 已手改。同一位置还可以 复制 AQL，或选择 在 QRadar Console 中打开，在 Log Activity 中用同一条 AQL 打开搜索。

保存常用查询

在生成的 AQL 下方选择 存为快捷查询 并命名。保存后的查询出现在新会话首页的 我的常用 中。

处理结果

结果为空时

Ariel 对白名单之外、Token 安全配置文件之外的日志源不返回数据，也不报权限错误。因此 0 条结果既可能是没有数据，也可能是数据不可见。

卡片上给出最可能的原因，并提供 把时间放宽到最近 7 天再问一次。放宽后仍为空时，展开 AQL 核对 LOGSOURCENAME() 与 QIDNAME() 中的名称和 Console 中是否一致，再到 Token 权限 检查安全配置文件。

继续追问

在同一会话中继续提问时，模型沿用上一轮的数据源，也能理解「第一名」「那个 IP」这类指代。换话题时，选择右上角的 新会话。

会话保存在网关的 copilot.db 中，7 天没有活动后过期，在其他浏览器登录后可以继续。选择左上角的会话名，打开历史会话列表。失败、已中断和生成中的会话带有标记。

超时