Daten aus IBM X-Force Exchange mit erweiterten Suchkriterien suchen

Bei komplexen Abfragen können Sie Daten aus X-Force Exchange mithilfe von Ausdrücken für die erweiterte Suche suchen und filtern.

Informationen zu dieser Task

Erweiterte Suchen geben Daten aus der Registerkarte Protokollaktivität oder Netzaktivität in QRadarzurück.

URL-Suchen können nicht aus der Registerkarte Netzaktivität zurückgegeben werden, weil URL-Informationen durch die Ereignisdaten bereitgestellt werden.

Eine Liste der Parameter und Funktionen, die bei der Suche nach Daten in IBM X-Force Exchangeverfügbar sind, enthält https://exchange.xforce.ibmcloud.com/faq#ipr_categories_list .

Vorgehensweise

  1. Klicken Sie auf die Registerkarte Protokollaktivität .
  2. Wählen Sie in der Symbolleiste Suchen die Option Erweiterte Sucheaus.
  3. Geben Sie einen AQL-Abfrageausdruck ein.

    In der folgenden Tabelle werden einige allgemeine Suchausdrücke beschrieben.

    Tabelle 1. X-Force Ausdrücke für erweiterte Suche
    Beschreibung Beispiel
    Sucht nach HTTP aus Datenströmen, die einer schlechten Kategorie zugeordnet sind. 
    select * from flows where 
XFORCE_URL_CATEGORY("HTTP Host") in ('Anonymization Services','Malware', 
'Botnet Command and Control Server', 'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Sucht nach URLs, die in Ereignissen gefunden wurden, die einer fehlerhaften Kategorie entsprechen. 
    select * from events where 
XFORCE_URL_CATEGORY("UrlHost") in ('Anonymization Services','Malware', 'Botnet Command and Control Server', 
'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Sucht nach IP-Adressen, die einer fehlerhaften Kategorie mit einem Konfidenzfaktor über 75 entsprechen. 
    select * from events where 
XFORCE_IP_CONFIDENCE('Anonymization Services',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Malware',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Spam',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Anonymization Services',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Malware',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Spam',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',sourceaddress) > 75
    Suche in Verbindung mit einer URL 
    select url, 
XFORCE_URL_CATEGORY(url) 
as myCategories from events where 
XFORCE_URL_CATEGORY(url) IS NOT NULL
    Suche in Verbindung mit einer Quellen-IP-Adresse 
    select sourceip, 
XFORCE_IP_CATEGORY(sourceip) 
as IPcategories from events where 
XFORCE_IP_CATEGORY(destinationip) in ('Malware', 'Botnet Command and Control Server', 
'Spam', 'Cryptocurrency Mining', 'Scanning IPs', 'Bots', 'Phishing')
  4. Klicken Sie auf Suchen.