QRadar Network Packet Capture Query Language (NTQL)

Utilice QRadar® Network Packet Capture Query Language (NTQL) para recuperar datos de los paquetes que se capturan.

Por ejemplo, puede utilizar NTQL para los siguientes tipos de información:

IPv4 direcciones de host, como origen, destino o bien
IPv6 direcciones de host, como origen, destino o bien
Números de puerto TCP o UDP, como origen, destino o bien
Protocolo de capa 3 llevado por tramas Ethernet
Protocolo de capa 4 llevado por paquetes IP
Combinaciones de estos con and y or lógicos

Nota: NTQL es sensible a las mayúsculas y minúsculas.

Emparejar todo

Una serie NTQL vacía coincide con todos los paquetes, lo cual es útil cuando el número de coincidencias es limitado.

Búsqueda de dirección de host

Para buscar paquetes enviados a un host específico, especifique la siguiente serie:

src host <IP address>

Para buscar paquetes enviados desde un host, especifique la siguiente serie:

dst host <IP address>

Búsqueda de número de puerto

Para buscar paquetes que se han enviado a o desde un puerto TCP o UDP, especifique la siguiente serie:

port <number>

Los paquetes que se envían utilizando protocolos que no tienen números de puerto se descartan mediante esta búsqueda.

Para limitar los resultados de la búsqueda a los paquetes que se han enviado desde un puerto específico, especifique la siguiente serie:

src port <number>

Para buscar paquetes que se han enviado a un puerto específico, especifique la siguiente serie:

dst port <number>

Búsqueda de protocolo de capa 3

Para buscar paquetes que utilicen un protocolo de capa 3 específico, especifique la siguiente serie:

l3proto <protocol>

donde <protocol> es un número de protocolo o un nombre. Estos son los nombres de protocolo soportados:

arp
ip
ip4
ip6
ipv4
ipv6
lldp
ptp

Cuando se proporciona ip como protocolo, se utiliza IPv4 .

Búsqueda de protocolo de capa 4

Para buscar paquetes que utilicen un protocolo de capa 4 específico, especifique la siguiente serie:

l4proto <protocol>

donde <protocol> es un número de protocolo o un nombre. Estos son los nombres soportados:

3pc
ah
argus
aris
ax.25
bbn-rcc-mon
bna
br-sat-mon
cbt
cftp
chaos
compaq-peer
cphb
cpnx
crtp
crudp
dccp
dcn-meas
ddp
ddx
dgp
egp
eigrp
emcon
encap
esp
etherip
fc
fire
ggp
gmtp
gre
hip
hmp
hopopt
i-nlsp
iatp
icmp
idpr
idpr-cmtp
idrp
ifmp
igmp
igp
il
ip-in-ip
ipcomp
ipcu
ipip
iplt
ippc
iptm
ipv6
ipv6-frag
ipv6-icmp
ipv6-nonxt
ipv6-opts
ipv6-route
ipx-in-ip
irtp
iso-ip
iso-tp4
kryptolan
l2tp
larp
leaf-1
leaf-2
manet
merit-inp
mfe-nsp
mhrp
micp
mobile
mobility-header
mpls-in-ip
mtp
mux
narp
netblt
nsfnet-igp
nvp-ii
ospf
pgm
pim
pipe
pnni
prm
ptp
pup
pvp
qnx
rdp
rohc
rsvp
rsvp-e2e-ignore
rvd
sat-expak
sat-mon
scc-sp
scps
sctp
sdrp
secure-vmtp
shim6
skip
sm
smp
snp
sprite-rpc
sps
srp
sscopmce
st
stp
sun-nd
swipe
tcf
tcp
tlsp
tp++
trunk-1
trunk-2
ttp
udp
udplite
uti
vines
visa
vmtp
vrrp
wb-expak
wb-mon
wesp
wsn
xnet
xns-idp
xtp

Combinación de términos de búsqueda

Estos términos de búsqueda se pueden combinar en expresiones más complejas con palabras clave and y or . Por ejemplo, para buscar paquetes hacia o desde 1.1.1.1 o 2.2.2.2, especifique la serie siguiente:

host 1.1.1.1 or host 2.2.2.2

Para buscar paquetes que sean a y desde 1.1.1.1 o 2.2.2.2, especifique la serie siguiente:

host 1.1.1.1 and host 2.2.2.2

Estas palabras clave se dejan asociativas. Por ejemplo, tenga en cuenta la sintaxis siguiente:

port 42 and host 1.1.1.1 or host 2.2.2.2

La expresión se evalúa como la siguiente:

enviado a o desde el puerto 42 y a o desde el host 1.1.1.1, o
a o desde el host 2.2.2.2 sin tener en cuenta los números de puerto

Puede cambiar la asociación de la izquierda utilizando paréntesis, como se muestra en el ejemplo siguiente:

port 42 and (host 1.1.1.1 or host 2.2.2.2)

La expresión evalúa para buscar paquetes hacia o desde el puerto 42 que están hacia o desde el host 1.1.1.1 o 2.2.2.2.