> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Erweiterte Abfragen

> Erweiterte Abfragen und Filter

Verwenden Sie [ClickHouse](https://clickhouse.com/)-SQL, um die normalisierten SIEM-Daten Ihrer Integrationen zu untersuchen. Wirespeed speichert gängige Ereignisfelder in typisierten `wspd_*`-Tabellen und bewahrt die ursprünglichen Anbieterdaten in der quellspezifischen `*_logs`-Tabelle auf.

> [!TIP]
>
> Beginnen Sie bei quellübergreifenden Untersuchungen mit einer normalisierten Tabelle und fragen Sie anschließend die in `_wspd_table` genannte Quelltabelle ab, wenn Sie anbieterspezifische Felder benötigen.

## Schnellstart

Um eine erweiterte Abfrage auszuführen, navigieren Sie zur Seite **Ereignisse** und wählen Sie oben rechts das Symbol .

Wählen Sie **Ask Wirespeed** neben dem SQL-Editor, um den Workflow **Erweiterte Abfrage erstellen** zu starten. Ask Wirespeed prüft Ihre verbundenen Tabellen, verifiziert die ausgewählten Felder, führt eine begrenzte repräsentative Abfrage aus, validiert das endgültige SQL und gibt eine Schaltfläche **Ausführen** zurück, die die Abfrage in der erweiterten Ereignisansicht öffnet.

## Schema

Begrenzen Sie Ereignisabfragen immer mit `_wspd_time`. Die erweiterte Ansicht stellt `{startTime: DateTime64}` und `{endTime: DateTime64}` über ihre Zeitraumauswahl bereit.

### Tabellen

* `wspd_events` – konsolidierter Ereignisindex über alle verbundenen Protokollquellen
* `wspd_authentication_events` – normalisierte Anmelde- und Authentifizierungsaktivität
* `wspd_productivity_events` – normalisierte E-Mail-, Datei- und Kollaborationsaktivität
* `wspd_dns_events` – normalisierte DNS-Aktivität
* `*_logs` – quellspezifische Rohprotokolltabellen, zum Beispiel `microsoft_entra_signin_logs`

Die konsolidierte Tabelle `wspd_events` enthält:

| Spalte | Beschreibung |
| - | - |
| `_wspd_id` | Ereigniskennung |
| `_wspd_team_id` | Zugehöriges Team; wird automatisch durch Row-Level Security eingeschränkt |
| `_wspd_integration_id` | Kennung der Quellintegration |
| `_wspd_integration_slug` | Typ der Quellintegration |
| `_wspd_table` | Quelltabelle mit den Anbieterdaten |
| `_wspd_event_type` | Normalisierter Ereignistyp |
| `_wspd_time` | Ereigniszeitstempel in UTC |
| `_wspd_ingested_at` | Zeitpunkt, zu dem Wirespeed das Ereignis gespeichert hat |
| `_wspd_observables` | Normalisierte durchsuchbare Werte |

**Felder von wspd\_authentication\_events**

| Spalte | Beschreibung |
| - | - |
| `status` | Authentifizierungsergebnis, einschließlich `SUCCESS` und `FAILURE` |
| `is_mfa` | Ob das Ereignis MFA beinhaltete |
| `actor_email` | E-Mail-Adresse des sich authentifizierenden Benutzers |
| `actor_username` | Benutzername des sich authentifizierenden Benutzers |
| `src_ip` | Quell-IP-Adresse |
| `src_ip_country` | Angereichertes Herkunftsland |
| `src_ip_asn_number` | Angereicherte Quell-ASN |
| `src_ip_asn_name` | Angereicherter Name des Quellnetzwerks |
| `src_ip_vpn` | VPN-Indikator |
| `src_ip_proxy` | Proxy-Indikator |
| `src_ip_tor` | Tor-Indikator |
| `src_ip_relay` | Relay-Indikator |
| `user_agent` | User-Agent der Quelle |
| `session_uid` | Kennung der Authentifizierungssitzung |

### Beispiele

**Ereignisse nach normalisiertem Typ zählen**

```sql theme={null}
SELECT
    _wspd_event_type,
    count(*) AS event_count
FROM wspd_events
WHERE _wspd_time >= {startTime: DateTime64}
    AND _wspd_time < {endTime: DateTime64}
GROUP BY _wspd_event_type
ORDER BY event_count DESC;
```

**Fehlgeschlagene Authentifizierungsaktivität finden**

```sql theme={null}
SELECT
    _wspd_time,
    actor_email,
    src_ip,
    src_ip_country,
    user_agent,
    message
FROM wspd_authentication_events
WHERE status = 'FAILURE'
    AND _wspd_time >= {startTime: DateTime64}
    AND _wspd_time < {endTime: DateTime64}
ORDER BY _wspd_time DESC
LIMIT 100;
```

**Erfolgreiche Anmeldungen aus Ländern finden, die in den vorangegangenen 30 Tagen nicht vorkamen**

```sql theme={null}
WITH historical_locations AS (
    SELECT DISTINCT
        lower(actor_email) AS actor_email,
        upper(src_ip_country) AS country
    FROM wspd_authentication_events
    WHERE status = 'SUCCESS'
        AND src_ip_country != ''
        AND _wspd_time >= toDateTime({startTime: DateTime64}) - INTERVAL 30 DAY
        AND _wspd_time < {startTime: DateTime64}
)
SELECT
    current._wspd_time,
    current.actor_email,
    current.src_ip,
    current.src_ip_country,
    current.user_agent
FROM wspd_authentication_events AS current
WHERE
    current.status = 'SUCCESS'
    AND current.src_ip_country != ''
    AND current._wspd_time >= {startTime: DateTime64}
    AND current._wspd_time < {endTime: DateTime64}
    AND (lower(current.actor_email), upper(current.src_ip_country)) NOT IN (
        SELECT actor_email, country
        FROM historical_locations
    )
ORDER BY current._wspd_time DESC
LIMIT 100;
```

### Nullwerte

Die meisten normalisierten Felder verwenden nicht nullbare Typen. Fehlende Zeichenfolgen werden durch `''` dargestellt, fehlende numerische Werte durch den Standardwert der Spalte.

### Zeitstempel

Alle Zeitstempel werden in UTC gespeichert und angezeigt.

## Ressourcenlimits

* **2000** Zeilen pro interaktiver Abfrage
* **4 GB** Arbeitsspeicher pro Abfrage
* **60 s** Ausführungszeit pro Abfrage

[Benutzerdefinierte Detektionen](https://docs.wirespeed.co/de/events/custom-detections.md) werden in Ask Wirespeed erstellt und verifiziert, mit einem Limit von weniger als 100 Treffern in der letzten Stunde und einer maximalen Ausführungszeit von 7,5 Sekunden.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.