Búsqueda de datos desde IBM X-Force Exchange con criterios de búsqueda avanzada

Para consultas complejas, puede buscar y filtrar datos de X-Force Exchange utilizando expresiones de búsqueda avanzada.

Acerca de esta tarea

Las búsquedas avanzadas devuelven datos de la pestaña Actividad de registro o Actividad de red en QRadar.

Las búsquedas de URL no se pueden devolver de la pestaña Actividad de red porque la información de URL la proporcionan los datos de suceso.

Para obtener una lista de parámetros y funciones disponibles al buscar datos de IBM X-Force Exchange, consulte https://exchange.xforce.ibmcloud.com/faq#ipr_categories_list

Procedimiento

  1. Pulse la pestaña Actividad de registro .
  2. En la barra de herramientas Buscar , seleccione Búsqueda avanzada.
  3. Teclee una expresión de consulta de AQL.

    La tabla siguiente describe algunas expresiones de búsqueda comunes.

    Tabla 1. X-Force expresiones de búsqueda avanzada
    Descripción Ejemplo
    Busca hosts HTTP de flujos que coincidan con una categoría incorrecta. 
    select * from flows where 
XFORCE_URL_CATEGORY("HTTP Host") in ('Anonymization Services','Malware', 
'Botnet Command and Control Server', 'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Busca los URL encontrados en los sucesos que coinciden con una categoría incorrecta. 
    select * from events where 
XFORCE_URL_CATEGORY("UrlHost") in ('Anonymization Services','Malware', 'Botnet Command and Control Server', 
'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Busca direcciones IP que coincidan con una categoría incorrecta con un factor de confianza superior a 75. 
    select * from events where 
XFORCE_IP_CONFIDENCE('Anonymization Services',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Malware',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Spam',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Anonymization Services',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Malware',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Spam',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',sourceaddress) > 75
    Búsquedas asociadas a un URL. 
    select url, 
XFORCE_URL_CATEGORY(url) 
as myCategories from events where 
XFORCE_URL_CATEGORY(url) IS NOT NULL
    Búsquedas asociadas a una dirección IP de origen. 
    select sourceip, 
XFORCE_IP_CATEGORY(sourceip) 
as IPcategories from events where 
XFORCE_IP_CATEGORY(destinationip) in ('Malware', 'Botnet Command and Control Server', 
'Spam', 'Cryptocurrency Mining', 'Scanning IPs', 'Bots', 'Phishing')
  4. Haga clic en Buscar.