Beispiele für AQL-Abfragen

Verwenden Sie AQL-Abfragen (Ariel Query Language) zum Abrufen von Daten aus der Ariel -Datenbank auf der Basis bestimmter Kriterien.

Verwenden Sie die folgende Abfragesyntax und halten Sie sich an die Klauselreihenfolge, wenn Sie eine AQL-Abfrage erstellen:
[SELECT *, column_name, column_name]
[FROM table_name]
[WHERE search clauses]
[GROUP BY column_reference*]
[HAVING clause]
[ORDER BY column_reference*]
[LIMIT numeric_value] 
[TIMEFRAME]
Hinweis: Wenn Sie eine GROUP BY -oder ORDER BY -Klausel zum Sortieren von Informationen verwenden, können Sie nur von Ihrer vorhandenen SELECT -Anweisung auf column_names verweisen.
Hinweis Wenn der Wert TIMEFRAME nicht angegeben ist, wird die Abfrage standardmäßig für die letzten fünf Minuten von Ariel-Daten ausgeführt.
Denken Sie daran, einfache Anführungszeichen zu verwenden, um Literalwerte oder Variablen anzugeben, und verwenden Sie Anführungszeichen für Spaltennamen, die Leerzeichen oder Nicht-ASCII-Zeichen enthalten:
Hochkommas
Verwenden Sie einfache Anführungszeichen, wenn Sie auf den Anfang und das Ende einer Zeichenfolge verweisen, wie in den folgenden Beispielen gezeigt:
username LIKE '%User%'
sourceCIDR= '192.0.2.0'
TEXT SEARCH = 'VPN Authenticated user'
QIDNAME(qid) AS 'Event Name'
Anführungszeichen
Verwenden Sie Anführungszeichen, wenn Spaltennamen Leerzeichen oder Nicht-ASCII-Zeichen enthalten, wie in den folgenden Beispielen gezeigt:
Custom property names with spaces, such as "Account Security ID".
Werte, die Nicht-ASCII-Zeichen enthalten.

Einfache AQL-Abfragen

Tabelle 1. Einfache AQL-Abfragen
Grundlegende AQL-Befehle Kommentare 
SELECT * FROM events LAST 10 MINUTES
 Gibt alle Felder aus der Ereignistabelle zurück, die in den letzten 10 Minuten gesendet wurden. 
SELECT sourceip,destinationip FROM events 
LAST 24 HOURS
 Gibt die sourceip und die destinationip aus der Ereignistabelle zurück, die in den letzten 24 Stunden gesendet wurden. 
SELECT * FROM events START '2017 01 01 9:00:00' 
STOP '2017 01 01 10:20:00'
 Gibt alle Felder aus der Ereignistabelle während dieses Zeitintervalls zurück. 
SELECT * FROM events limit 5 LAST 24 HOURS
 Gibt alle Felder in der Ereignistabelle während der letzten 24 Stunden zurück, wobei die Ausgabe auf fünf Ergebnisse begrenzt ist 
SELECT * FROM events ORDER BY magnitude DESC 
LAST 24 HOURS
 Gibt alle Felder in der Ereignistabelle zurück, die in den letzten 24 Stunden gesendet wurden, und sortiert die Ausgabe vom höchsten zum niedrigsten Wert. 
SELECT * FROM events WHERE magnitude >= 3 
LAST 24 HOURS
 Gibt alle Felder in der Ereignistabelle zurück, deren Ausmaß kleiner als drei der letzten 24 Stunden ist. 
SELECT * FROM events WHERE sourceip = '192.0.2.0' 
AND destinationip = '198.51.100.0' START '2017 01 01 
9:00:00' STOP '2017 01 01 10:20:00'
 Gibt alle Felder in der Ereignistabelle zurück, die die angegebene Quellen-IP und Ziel-IP innerhalb des angegebenen Zeitraums enthalten. 
SELECT * FROM events WHERE INCIDR('192.0.2.0/24',
sourceip)
 Gibt alle Felder in der Ereignistabelle zurück, bei denen die Quellen-IP-Adresse im angegebenen CIDR-IP-Bereich liegt. 
SELECT * FROM events WHERE username LIKE '%roul%'
 Gibt alle Felder in der Ereignistabelle zurück, in denen der Benutzername die Beispielzeichenfolge enthält. Die Prozentzeichen (%) geben an, dass der Benutzername mit einer Zeichenfolge von null oder mehr Zeichen übereinstimmen kann. 
SELECT * FROM events WHERE username ILIKE '%ROUL%'
 Gibt alle Felder in der Ereignistabelle zurück, in denen der Benutzername die Beispielzeichenfolge enthält und bei denen die Groß-/Kleinschreibung nicht beachtet werden muss. Die Prozentzeichen (%) geben an, dass der Benutzername mit einer Zeichenfolge von null oder mehr Zeichen übereinstimmen kann. 
SELECT sourceip,category,credibility FROM events 
WHERE (severity > 3 AND category = 5018)OR 
(severity < 3 AND credibility > 8)
 Gibt die Felder sourceip, categoryund credibility aus der Ereignistabelle mit bestimmten Bewertungsstufen, einer bestimmten Kategorie und einer bestimmten Zuverlässigkeitsstufe zurück Die Klausel AND lässt mehrere Zeichenfolgen von Ergebnistypen zu, die Sie verwenden möchten. 
SELECT * FROM events WHERE TEXT SEARCH 'firewall'
 Gibt alle Felder aus der Ereignistabelle zurück, die den angegebenen Text in der Ausgabe haben. 
SELECT * FROM events WHERE username ISNOT NULL
 Gibt alle Felder in der Ereignistabelle zurück, bei denen der Wert username nicht null ist.