夢のパイプが実現：Elasticのパイプ型クエリ言語ES|QLが新登場

展開中の攻撃を示す点と点をつないだり、オブザーバビリティデータを読み解いたりするには、膨大な量のデータをフィルタリング、検索、変換、アグリゲーションする必要があります。ES|QLは、この機能を単一のクエリで実現できます。

堅牢なクエリエンジンが組み込まれたES|QLには、並行処理による高度な検索機能が搭載されていて、多様なデータソースやデータ構造にわたってシームレスにクエリを実行できます。

Query DSLへの変換やトランスパイルは不要です。代わりにES|QLでは、各クエリがまず分解され、その意味の解釈が行われ、正確さの検証が行われてから、最適なパフォーマンスが得られるように補強されます。その後、クラスター内のさまざまなノードにわたってクエリを実行するための処理が配分されます。クエリを処理するターゲットノードでは、ES|QLが提供するフレームワークを使用して、その場で実行プランが調整されます。これにより、細かい設定をしなくても超高速でクエリ結果が得られます。参考として、比較のためにナイトリーベンチマークをご覧ください。

Elasticのソリューション（検索、オブザーバビリティ、セキュリティ）はどれも、ElasticsearchとKibana®で提供される機能とイノベーションの恩恵を受けています。ES|QLは、これらのソリューションのエクスペリエンスに根本的な変化をもたらし、シンプルでありながらパワフルなデータ調査ワークフローを実現します。

ES|QLにより、アナリストが脅威を追跡する方法は一変し、検知力が向上します。コミュニティからの豊富なインプットに応えて開発されたES|QLが、Elasticsearchのスピードでパイプ型クエリのパワーを解放し、ElasticセキュリティのSIEM機能、エンドポイントセキュリティ機能、クラウドセキュリティ機能を強化します。

• すばやく反復的に検索：新たな脅威の痕跡をたどるためには、すばやい対応と、反復的ワークフローを可能にする言語が必要です。
• コンテクストで精度を向上：アナリストはES|QLを使用して、不審なIPアドレスを既知の脅威インテリジェンスと相関付けて、潜在的な脅威を即座に明確化できます。
• データの変換：ES|QLを使用して、新しいフィールドを定義したり非正規化データを解析したりしてデータを操作し、データの明確性や関連性を維持できます。
• データのアグリゲーション：より高度な分析やインサイトの抽出をしやすいように、結果を総合、アグリゲーションできます。

Elasticは、Schema on writeアーキテクチャの効率性と、Schema on readのパイプ型クエリ言語の反復的な検索エクスペリエンスを兼ね備えた唯一の検索プラットフォームです。検索が驚くほど高速でクエリ出力をすべて把握できるため、アナリストは連続するパイプを進むごとにターゲットに近付くことができます。

ES|QLは、Elasticセキュリティのパワフルな検知エンジンも強化します。組織は、アグリゲーションした値を検知ルールに組み込むことで、警告疲れを軽減したり、アラートの関連性を高めたり、振る舞い検知のための別の手段を提供したりできます。インライン評価を使用すれば、ES|QLベースのルールを反復的に開発し、磨き上げることができます。クエリはプレーンテキストでフォーマットされていて、コラボレーションしやすく、コードとしての検知もサポートされています。

Elasticオブザーバビリティを使用しているSREは、ES|QLをログ、メトリック、トレース、プロファイリングデータの分析に活用することで、パフォーマンス関連のボトルネックやシステム関連の問題を、1回のクエリによってピンポイントで特定できます。SREがElasticオブザーバビリティで高次元高カーディナリティのデータを扱う際にES|QLを使用すると、次のようなメリットがあります。

• シグナルノイズの解消：個々のインシデントではなく重要なトレンドに注目することで検知精度を高めるES|QLのアラート機能を使用すれば、誤警報を最小限に抑え、実用的な通知を配信できます。SREは、これらのアラートを、Elastic APIを通じて管理したり、DevOpsプロセスに統合したりできます。
• インサイトで分析力を強化：ES|QLでは、アプリケーション、インフラストラクチャー、ビジネスデータなどの多様なオブザーバビリティデータを、ソースや構造にかかわらず処理できます。フィールドやコンテクストを追加してデータを簡単にエンリッチし、ダッシュボード用のビジュアライゼーションを作成したり、1回のクエリで問題を分析したりできます。
• 平均復旧時間の短縮：ES|QLをElasticオブザーバビリティのAIOpsやAI Assistantと組み合わせると、トレンドの特定、インシデントの切り分け、誤検知の回避により、検知精度が高まります。このコンテクスト機能の改善により、トラブルシューティングがはかどり、問題を迅速に特定して解決できます。

ES|QLがElasticオブザーバビリティに加わることで、SREは顧客エクスペリエンス、組織の収益、SLOをより効果的に管理できるようになるだけでなく、コンテクストに応じたアグリゲーション済みデータが提供されることで、開発者やDevOpsとの共同作業が推進されます。

ES|QLを使用すれば、1回のクエリでデータを取得、アグリゲーション、計算、変換できます。クエリ時のフィールドの定義、データエンリッチルックアップの実行、クエリの並行処理といった重要な機能が搭載されています。ES|QLを使用して、さまざまな方法でデータを把握したり探索したりできます。クライアントを利用したAPI/コードの直接統合から、1つの画面内での結果の可視化まで、データ調査を効率化して、簡単、シンプルにデータセットを最大限に活用できます。 

ES|QLの設計は、コードの複雑さを軽減し、最終的にコストと時間の節約につなげることを重視しています。クエリ結果をその後の検索でスムーズに再利用することで、演算処理の負担を最小限に抑え、ややこしいスクリプトや冗長なクエリの必要性を解消します。ES|QLは、単なるAPIではなく、検索に対するアプローチに変革をもたらすシンプルかつパワフルな手段です。

データ探索とデータ操作の未来がここにあります。Elasticは、セキュリティアナリスト、SRE、開発者の皆様に、この革新的な言語を直接体験していただき、データタスクの新しい地平を拓いていただきたいと考えています。ES|QLの可能性について詳しくはこちらを、現在テクニカルプレビュー中のES|QLの無料トライアルを開始するにはこちらをご覧ください。

本記事に記述されているあらゆる機能ないし性能のリリースおよびタイミングは、Elasticの単独裁量に委ねられます。現時点で提供されていないあらゆる機能ないし性能は、すみやかに提供されない可能性、または一切の提供が行われない可能性があります。