Query (lmio-query)

Skill query učí agenta psát, validovat a spouštět analytické dotazy na log, event a metric data LogMan.io.

Název skillu	lmio-query
Cesta v Knihovně	/AI/Skills/lmio-query/SKILL.md
Share	lmio (přihlašovací údaje instance a související soubory pod /workspace/lmio/)
Závisí na	lmio-rest-api pro HTTP přístup k Chart a souvisejícím API

K čemu slouží

• Hledat, počítat, analyzovat nebo vizualizovat log data
• Bezpečnostní vyšetřování (lateral movement, brute force, exfiltrace, privilege escalation, …)
• Provozní otázky (počty událostí, top zdroje, časové osy)
• Detekce vzorů v síti, procesech, autentizaci, souborech, DNS a souvisejících ECS polích

Typické formulace: „najdi X v logách“, „kolik Y za posledních N hodin“, „huntuj …“, „ukaž mi …“.

K čemu neslouží

Potřeba	Použijte
Správa alertů / ticketů	lmio-rest-api pro lmio-alerts
Psaní nebo publikace korelačních pravidel	lmio-detection-engineer
Konfigurace parserů	detection / parser workflow, ne tento skill
Čistá produktová dokumentace	lmio-knowledge

Předpoklady

Před dotazováním agent potřebuje:

1. Název instance — načte přihlašovací údaje z /workspace/lmio/{instance}.json (BASE_URL + API_KEY)
2. Tenant na instanci — pokud neznáte, objevte helperem REST skillu:

   python3 /library/AI/Skills/lmio-rest-api/scripts/lmio-api-get-tenants.py {instance}
   

Workflow (shrnutí)

Skill kóduje opakovatelnou smyčku:

1. Seznam datasources — GET /api/lmio-chart/{tenant}/datasources

2. Volba datasource — pojmenování <provider>.<name>:

   Provider	Technologie	Použití
   es	Elasticsearch	Události a logy — téměř vždy začněte es.events (data lake)
   ix	InfluxDB	Časové řady metrik (často tenant system)
   db	DuckDB	Agregované ingest / EPS metriky

3. Průzkum schématu — GET /api/lmio-chart/{tenant}/fields/{datasource} (autoritativní seznam polí; ECS orientace)

4. Autor query YAML — agregující nebo neagregující Chart query dokumenty
5. Spuštění přes REST helpery / Chart API
6. Iterace — upřesnění filtrů, časového rozsahu a agregací z reálných výsledků; ověřte naplnění polí před spoléháním na ně

Detailní gramatika filtrů, typy SP-Lang, poznámky k DuckDB analýze a cheatsheety jsou v referencích Knihovny pod /AI/Skills/lmio-query/references/.

Poznámky k návrhu

• Preferujte potvrzení schématu a přítomnosti dat před hádáním názvů polí
• Velké výsledky ukládejte do souborů v /workspace, ne do kontextu konverzace
• Citace by měly uvádět datasource, časový rozsah a identifikující pole události, aby analytik mohl najít v Discover / Chart