Sintaxis de filtro

Operadores de comparación

La tabla de operadores de comparación de filtros describe los operadores de comparación que puede utilizar como parte del parámetro de filtro.

Valores nulos y operadores de comparación

Cuando el campo por el que ha filtrado tiene un valor 'null', los operadores de comparación se comportan de las siguientes maneras:

La mejor forma de probar los valores nulos es utilizar los operadores "is null" o "is not null".

Operadores lógicos

Utilice los operadores lógicos OR, ANDy NOT para realizar operaciones lógicas en subexpresiones. La tabla siguiente proporciona ejemplos de cómo utilizar operadores lógicos en filtros.

Especificación de campos JSON para comparaciones

En la tabla siguiente se explica cómo especificar campos JSON para utilizarlos con operadores de comparación en filtros.

{
"name": "Proprietary Data",
"element_type": "ALN"
}

{
 "description": "String",
 "duration": {
  "days": 42,
  "hours": 42,
  "minutes": 42,
  "months": 42,
  "seconds": 42.5,
  "years": 42
  }
}

["events","flows","simarc"]

Especificación de valores de serie y numéricos en filtros

Cuando filtra series que tienen valores con caracteres no alfanuméricos, debe envolver la serie de destino entre comillas. Cuando filtra valores numéricos, los valores numéricos pueden seguir estas condiciones:

• Empiece con un signo + o-inicial.
• Contener o empezar con una coma decimal.
• Incluya un exponente utilizando la notación e.

Filtrado de objetos complejos utilizando el operador CONTAINS

Los objetos complejos se filtran utilizando el operador CONTAINS. Utilice el operador CONTAINS para probar el contenido de listas o correlaciones. En el lado izquierdo del operador, es un identificador que está en el formato estándar, por ejemplo x (y (z)). El identificador debe hacer referencia a un elemento que sea una lista, correlación o colección. En el lado derecho del operador hay una expresión que especifica cómo deben coincidir los objetos de la lista. Existen dos casos de uso básicos para utilizar el operador CONTAINS:

• La lista que se examina contiene elementos simples como series o números.
• La lista contiene objetos complejos.

Listas que contienen tipos simples

Para listas que contienen tipos simples como series o números, la expresión es un valor del mismo tipo. Para comparaciones simples, no se necesitan corchetes.

Para solicitar sólo búsquedas guardadas de activos que tengan ftp como serie en el campo de valor del filtro:

GET /api/asset_model/saved_searches?filter=filters%20contains%20value%20%3D%20ftp

Para solicitar activos donde las interfaces contienen la dirección IP "192.0.2.0":

GET /api/asset_model/assets?filter=interfaces%20contains%20ip_addresses%20contains%20value%20%3D%20%192.0.2.0%22

Listas que contienen objetos complejos

Para listas que contienen objetos complejos, la expresión es una expresión de filtro completa para los objetos de la lista. Esta expresión de subfiltro utiliza la misma sintaxis que cualquier otro filtro. Puede utilizar cualquier operador del subfiltro para probar sublistas dentro de la lista original. Los identificadores de esta expresión son relativos a los objetos de la lista en los que opera el operador CONTAINS. En expresiones de subfiltro complejas, se necesitan corchetes.

Para solicitar sólo los activos que tienen un campo value = 14 y el operador Greater than , aplique el filtro filters contains (value = 14 or operator = "Greater than"). Este filtro devuelve el primero y el último elemento de la lista.

GET /api/asset_model/saved_searches?filter=filters%20contains%20(value%20%3D%2014%20and%20operator%20%3D%20%22Greater%20than%22)

Para buscar delitos que contienen direcciones de origen que tienen valores de ID inferiores a 3, aplique el filtro siguiente:

GET /api/siem/offenses?filter=source_address_ids%20contains%20(.%3C3)

El operador LIKE

Utilice el operador LIKE para recuperar coincidencias de serie parciales.

El operador LIKE utiliza el formato siguiente: identifier like "expression". Las comillas alrededor de la expresión son obligatorias. Se da soporte a las comillas simples y dobles. La palabra clave LIKE distingue entre mayúsculas y minúsculas.

Se da soporte a los siguientes caracteres comodín. Si utiliza caracteres comodín en una serie, debe escaparlos.

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]

Puede combinar los caracteres comodín en la misma expresión. Por ejemplo, para buscar servidores en domain1 o domain2, utilice la expresión: hostname LIKE "%.domain_".

GET /path/to/api?filter=hostname%20LIKE%20%22%25.domain_%22 
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 }
]

Observe que SERVER.domain no se devuelve, porque el carácter de subrayado (_) no tiene ningún carácter final coincidente.

El operador ILIKE

Utilice el operador ILIKE para recuperar coincidencias de series parciales que no distinguen entre mayúsculas y minúsculas.

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
] 

GET /path/to/api?filter=hostname%20ILIKE%20%22server.domain%22'
[
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]