Recherche de données à partir de IBM X-Force Exchange avec des critères de recherche avancés

Pour les requêtes complexes, vous pouvez rechercher et filtrer des données à partir de X-Force Exchange à l'aide d'expressions de recherche avancée.

A propos de cette tâche

Les recherches avancées renvoient des données à partir de l' Activité du journal ou de l'onglet Activité réseau dans QRadar.

Les recherches d'URL ne peuvent pas être renvoyées de l'onglet Activité réseau car les informations sur l'URL sont fournies par les données d'événement.

Pour obtenir la liste des paramètres et des fonctions disponibles lorsque vous recherchez des données à partir de IBM X-Force Exchange, voir https://exchange.xforce.ibmcloud.com/faq#ipr_categories_list

Procédure

  1. Cliquez sur l'onglet Activité du journal .
  2. Dans la barre d'outils Recherche , sélectionnez Recherche avancée.
  3. Entrez une expression de requête AQL.

    Le tableau suivant décrit quelques expressions de recherche communes.

    Tableau 1. X-Force expressions de recherche avancée
    Descriptif Exemple
    Recherche les hôtes HTTP des flux qui correspondent à une mauvaise catégorie. 
    select * from flows where 
XFORCE_URL_CATEGORY("HTTP Host") in ('Anonymization Services','Malware', 
'Botnet Command and Control Server', 'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Recherche les URL trouvées dans les événements qui correspondent à une catégorie incorrecte. 
    select * from events where 
XFORCE_URL_CATEGORY("UrlHost") in ('Anonymization Services','Malware', 'Botnet Command and Control Server', 
'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    Recherche les adresses IP qui correspondent à une catégorie incorrecte avec un facteur de confiance supérieur à 75. 
    select * from events where 
XFORCE_IP_CONFIDENCE('Anonymization Services',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Malware',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Spam',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Anonymization Services',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Malware',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Spam',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',sourceaddress) > 75
    Recherches associées à un URL. 
    select url, 
XFORCE_URL_CATEGORY(url) 
as myCategories from events where 
XFORCE_URL_CATEGORY(url) IS NOT NULL
    Recherches associées à une adresse IP source. 
    select sourceip, 
XFORCE_IP_CATEGORY(sourceip) 
as IPcategories from events where 
XFORCE_IP_CATEGORY(destinationip) in ('Malware', 'Botnet Command and Control Server', 
'Spam', 'Cryptocurrency Mining', 'Scanning IPs', 'Bots', 'Phishing')
  4. Cliquez sur Rechercher.