--- title: "Join-Operator und Query Agent für eine intelligentere Protokollanalyse" page_name: "Join-Operator und Query Agent für eine intelligentere Protokollanalyse" type: "blog" slug: "using-the-join-operator" published_at: "2026-04-22" modified_at: "2026-10-28" url: "https://www.sumologic.com/de/blog/using-join-operator" canonical: "https://www.sumologic.com/de/blog/using-join-operator" markdown_url: "https://www.sumologic.com/de/blog/using-join-operator.md" lang: "de" excerpt: "Erfahren Sie, wie der Join-Operator von Sumo Logic mehrere Protokoll-Streams zu einer einzigen Ergebnismenge kombiniert und wie der Query Agent von Dojo AI Ihnen hilft, diese Abfragen schneller zu erstellen und zu optimieren." taxonomy_blog_category: - "DevOps und IT-Betrieb" - "SecOps und Sicherheit" - "KI" --- [ Alle Blogs ](https://www.sumologic.com/de/blog "Blog")[DevOps und IT-Betrieb](https://www.sumologic.com/de/blog/devops-it-operations), [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security), [KI](https://www.sumologic.com/de/blog/ai) # Join-Operator und Query Agent für eine intelligentere Protokollanalyse [Duane DeCapite](#blog-author-block-377) April 22, 2026 3 min read [DevOps und IT-Betrieb](https://www.sumologic.com/de/blog/devops-it-operations), [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security), [KI](https://www.sumologic.com/de/blog/ai) ##### Inhaltsverzeichnis [Die Protokollanalysefunktionen von Sumo Logic](https://www.sumologic.com/de/guides/log-analytics) haben schon immer die wichtigsten Erkenntnisse geliefert, um Ihnen bei der Sicherung, Überwachung und Fehlerbehebung Ihrer Umgebung zu helfen. Mit unserem [Query Agent](https://www.sumologic.com/de/solutions/dojo-ai#:~:text=respond%20with%20confidence.-,Query%20Agent,-%3A%20Transforming%20natural%20language), der Teil von [DojoAI](https://www.sumologic.com/de/solutions/dojo-ai) ist, ist die Erstellung optimierter Protokoll-Suchen in natürlicher Sprache jetzt noch einfacher. Query Agent arbeitet mit einer Vielzahl von Operatoren, einschließlich des [Join-Operators](https://www.sumologic.com/help/docs/search/search-query-language/search-operators/join/), für Parsing, Aggregation, Datentransformation, Filterung, erweiterte Analyse und Nachschlagevorgänge. Der Join-Operator bringt die Essenz eines SQL-JOIN in Ihren Strom unstrukturierter Daten und bietet Ihnen dadurch noch mehr Flexibilität. ## Was ist der Join-Operator? Bei einem Standard-Join in relationalen Datenbanken sind die Datensätze in den zu verknüpfenden Tabellen zum Zeitpunkt der Abfrage festgelegt. Die Zuordnung von IDs in Protokollmeldungen verschiedener Tage innerhalb des Suchzeitraums führt jedoch wahrscheinlich zu einem falschen Ergebnis, da Aktionen von gestern nicht mit einem heutigen Anmeldeereignis verknüpft werden sollten. Aus diesem Grund bietet unser Join-Operator einen festgelegten gleitenden Zeitrahmen für das Zusammenführen von Protokollnachrichten. Im folgenden Diagramm stellen die rosa und orangefarbenen Bereiche zwei Ströme unterschiedlicher Protokollmeldungen dar. Beide enthalten ein Schlüssel-Wert-Paar, das wir vergleichen möchten, und die Nachrichten werden anhand dieses Schlüssel-Wert-Paares verknüpft, wenn beide innerhalb des durch die schwarze Box angegebenen Zeitfensters auftreten. ### Der Join-Operator in der Praxis Wenden wir das nun an. Angenommen, eine Anwendung hat sowohl reale als auch maschinell gesteuerte Benutzer. Sie möchten wissen, welche Benutzer welche sind, um mögliche maschinell gesteuerte Benutzer, die die Leistung beeinträchtigen könnten, im Auge behalten zu können. Wie sich herausstellt, erstellen menschliche Benutzer Anfragen mit einer vergleichsweise geringen Rate, während maschinell gesteuerte Benutzer (die über eine API zugreifen) mehrere Anfragen pro Sekunde generieren können, und zwar immer unmittelbar nach dem Anmeldevorgang. In diesen Protokollen gehen verschiedene Meldungen mit unterschiedlichen Zwecken und Werten ein. Mithilfe des Join-Operators können Sie sowohl Anmelde- als auch Anforderungsereignisse abfragen und anschließend das Zeitfenster der Abgleichlogik einschränken, um die beiden Nachrichtenströme zu kombinieren. Die beiden Unterabfragen meiner Suche suchen nach Anfrage-/Abfrageereignissen bzw. Anmeldeereignissen. Das Matching-Fenster ist auf nur 15 Sekunden begrenzt, um Anfragen zu identifizieren, die sehr nahe am Login-Ereignis auftreten. Anschließend können Sie Benutzer herausfiltern, die innerhalb von 15 Sekunden nach dem Login weniger als zehn Anfragen gestellt haben. Das Ergebnis ist eine klare Übersicht über die Nutzer, die unmittelbar nach dem Einloggen aktiv eine große Anzahl von Anfragen über die API stellen. Hier ist meine Beispielabfrage: ``` (login or (creating query)) | join (parse "Creating query: '*'" as query, "auth=User:*:" as user) as query, (parse "Login success for: '*'" as user) as login on query.user = login.user timewindow 15s | count by query_user | where _count > 10 | sort _count ``` Wie Sie der obigen Syntax entnehmen können, verwenden die Unterabfragen dieselbe Syntax wie Standard-Protokollsuchen und unterstützen sogar Aggregatfunktionen (Anzahl, Summe, Durchschnitt usw.), sodass Sie komplexe Ergebnisse miteinander verknüpfen und die benötigten Erkenntnisse gewinnen können. Sumo Logic unterstützt außerdem das Zusammenführen von mehr als nur zwei Protokollströmen, sodass Sie alle Ihre bevorzugten Daten in einer einzigen Abfrage kombinieren können. ## Was ist der DojoAI Query Agent? Das Schreiben einer Join-Abfrage mit der richtigen Syntax, dem richtigen Zeitfenster und der richtigen Matching-Logik kann knifflig sein, insbesondere wenn Sie mit mehreren Protokollströmen arbeiten. Der Query Agent vereinfacht diesen Prozess. Der Query Agent, ein Teil unseres Teams von [DojoAI-Agenten](https://www.sumologic.com/de/blog/agents-dojo-ai-soc-analyst-mcp), der über [Mobot](https://www.sumologic.com/de/demo/mobot-walkthrough) aufgerufen werden kann, übersetzt Ihre Fragen in natürlicher Sprache in Sumo Logic-Protokollsuchanfragen, um Ihnen zu helfen, mit einem Prompt optimierte Abfragen zu erstellen. Das folgende Beispiel zeigt, wie ein Benutzer den Query Agent über Mobot auffordern kann, einen Join-Befehl zu erstellen, wodurch das Zusammenführen von Protokollen für eine Suche vereinfacht wird. Im folgenden Screenshot fordert der Benutzer den Query Agent auf, die Änderungsprotokolle eines Dienstes mit den Anwendungsprotokollen zu verknüpfen, um nach einem Statuscode zu suchen. Zusätzlich zur Anzeige der Ergebnisse weist der Query Agent darauf hin, dass ein Join verwendet wurde, und zeigt wichtige Beobachtungen an, wie z. B. die Latenz. Er stellt außerdem den genauen Suchbefehl bereit, der im Protokollsuchbereich einfach verwendet oder geändert werden kann. Um die Suchanfrage verständlicher zu gestalten, enthält der Query Agent eine klare Erläuterung der Suche, in der die wichtigsten Komponenten und deren Zusammenhänge erläutert werden. ## Schlussbemerkung Der Join-Operator ermöglicht es Ihnen, Datensätze aus zwei oder mehr Datenströmen dynamisch zu einem einzigen Ergebnissatz zu kombinieren und funktioniert ähnlich wie ein SQL-Inner-Join. Der Join-Operator und andere Operatoren wurden durch DojoAI-Agenten erweitert. Erfahren Sie, wie DojoAI Ihnen bei der Überwachung, Fehlerbehebung und Sicherung Ihrer Umgebung helfen kann. [Sehen Sie es in Aktion](https://www.sumologic.com/de/demo/dojo-ai-walkthrough). ### FAQs Was ist der Query Agent?+Der Query Agent hilft Benutzern, über Mobot eingereichte Anfragen in natürlicher Sprache schnell in präzise Sumo Logic-Abfragen zu übersetzen. Das vereinfacht die Erkundung, Analyse und Gewinnung von Erkenntnissen aus komplexen Datensätzen. Da der Query Agent den Kontext und die Benutzerabsicht versteht, senkt er die Lernkurve für neue Benutzer und steigert die Effizienz für erfahrene Analysten. Greifen DojoAI-Agenten auf Kundendaten zu?+Ja. Funktionen wie Mobot und der SOC Analyst Agent verarbeiten Kundentelemetrie, um Untersuchungen durchzuführen, Abfragen auszuführen und Erkenntnisse zu generieren. Die gesamte Verarbeitung erfolgt sicher in Ihrem Plattformkontext, und Kundendaten werden niemals zum Trainieren verallgemeinerter KI-Modelle verwendet. Administratoren können DojoAI-Funktionen jederzeit über Feature Management oder durch Einreichen eines Support-Tickets deaktivieren. Kunden, die sich zuvor von Sumo Logic KI-Funktionen abgemeldet haben, erhalten keinen Zugriff auf diese oder zukünftige KI-Funktionen, bis sie sich explizit wieder anmelden. Was ist Sumo Logic DojoAI?+Sumo Logic DojoAI ist eine Multi-Agent-KI-Plattform, die intelligente Sicherheitsabläufe und Incident Response ermöglicht. Das Tool agiert autonom und passt sich ständig an neue Bedrohungen an. ### Artikel-Tags - [DevOps und IT-Betrieb](https://www.sumologic.com/de/blog/devops-it-operations) - [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security) - [KI](https://www.sumologic.com/de/blog/ai) Duane DeCapite Senior Director, Product Management Duane is the Senior Director of Product Management at Sumo Logic. Prior to Sumo Logic, Duane has held Cybersecurity, Observability and AI product roles at NetSPI, VMware, N-able, Cumulus Networks and Cisco. Duane authored Self-Defending Networks: The Next Generation of Network Security with Cisco Press and represented Cisco in the National Security Telecommunications Advisory Committee (NSTAC). Duane has also been a featured speaker at key industry events, including KubeCon, Cisco Live, Red Hat Summit, SUSECON, OpenStack Summit and SDN/NFV World Congress. Duane holds an MBA from the University of North Carolina at Chapel Hill, a BS in Computer Science from North Carolina State University and has completed coursework towards an MS in Engineering at Stanford University. [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Fusing-join-operator "Share on Facebook")[](https://twitter.com/intent/tweet?text=Join-Operator%20und%20Query%20Agent%20f%C3%BCr%20eine%20intelligentere%20Protokollanalyse&url=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Fusing-join-operator "Share on X")[](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Fusing-join-operator "Share on LinkedIn")[](https://api.whatsapp.com/send?text=Join-Operator%20und%20Query%20Agent%20f%C3%BCr%20eine%20intelligentere%20Protokollanalyse%20https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Fusing-join-operator "Share on WhatsApp")[](https://www.sumologic.com/feed?post_type=blog "RSS Feed") [Vorheriger Blog 92 % der Sicherheitsverantwortlichen geben an, dass ihr SIEM-System effektiv ist. 51 % sagen, es sei außergewöhnlich. Was verbirgt sich in dieser Lücke?](https://www.sumologic.com/de/blog/from-effective-to-exceptional-siem)[Nächster Blog Beobachtbarkeit ist Sicherheit (wir haben nur so getan, als wäre es nicht so).](https://www.sumologic.com/de/blog/observability-is-security) Leser, die dies gelesen haben, fanden auch interessant [ Einführung von DojoAI Credits: Flexible, vorhersehbare KI-Preisgestaltung für Skalierbarkeit October 13, 2026 ](https://www.sumologic.com/de/blog/dojoai-credits-flexible-ai-pricing)[ Bändigen Sie das Datenchaos mit Sumo Logics Data Pipelines September 21, 2026 ](https://www.sumologic.com/de/blog/intelligent-data-pipelines-telemetry-management)[ Strukturierte Felder aus unstrukturierten Logs extrahieren September 8, 2026 ](https://www.sumologic.com/de/blog/how-to-extract-structured-fields-from-unstructured-logs)[ Wenn KI die Anwendungsebene überspringt: Willkommen bei den Hunger Games der Betriebssysteme August 25, 2026 ](https://www.sumologic.com/de/blog/agentic-ai-os-security-risks) [AI Instructions](https://www.sumologic.com/ai-instructions.md)