Syntaxe de filtrage

Opérateurs de comparaison

Le tableau des opérateurs de comparaison de filtre ci-après décrit les opérateurs de comparaison que vous pouvez utiliser dans le paramètre de filtre.

Valeurs nulles et opérateurs de comparaison

Lorsque la zone sur laquelle vous appliquez un filtre comporte une valeur 'null', les opérateurs de comparaison se comportent de la manière suivante :

La meilleure façon de tester les valeurs nulles est d'utiliser les opérateurs "is null" ou "is not null".

Opérateurs logiques

Utilisez les opérateurs logiques OR, AND et NOT pour effectuer des opérations logiques sur des sous-expressions. Le tableau ci-après comporte des exemples d'utilisation des opérateurs logiques dans les filtres.

Indication de zones JSON pour les comparaisons

Le tableau ci-après indique comment indiquer les zones JSON à utiliser avec des opérateurs de comparaison dans les filtres.

{
"name": "Proprietary Data",
"element_type": "ALN"
}

{
 "description": "String",
 "duration": {
  "days": 42,
  "hours": 42,
  "minutes": 42,
  "months": 42,
  "seconds": 42.5,
  "years": 42
  }
}

["events","flows","simarc"]

Indication de valeurs de chaîne et de valeurs numériques dans les filtres

Lorsque vous effectuez un filtrage sur des chaînes comportant des valeurs comportant des caractères non alphanumériques, vous devez placer la chaîne cible entre guillemets. Lorsque vous filtrez sur des valeurs numériques, celles-ci peuvent être soumises aux conditions suivantes :

• Elles doivent commencer par un signe + ou -.
• Contient ou commence par un séparateur décimal.
• Incluez un exposant en utilisant la notation e.

Filtrage d'objets complexes à l'aide de l'opérateur CONTAINS

Vous pouvez filtrer des objets complexes à l'aide de l'opérateur CONTAINS. L'opérateur CONTAINS permet de tester le contenu de listes ou de cartes. A gauche de l'opérateur figure un identificateur qui est au format standard, par exemple x(y(z)). L'identificateur doit faire référence à un élément qui est une liste, une carte ou une collection. Sur le côté droit de l'opérateur se trouve une expression qui indique comment les objets de la liste doivent être mis en correspondance. Il existe deux cas d'utilisation de base pour l'utilisation de l'opérateur CONTAINS:

• La liste examinée contient des éléments simples tels que des chaînes ou des nombres.
• La liste contient des objets complexes.

Listes contenant des types simples

Pour les listes contenant des types simples comme des chaînes ou des nombres, l'expression est une valeur du même type. Pour les comparaisons uniques, aucun crochet n'est requis.

Pour demander uniquement les recherches sauvegardées d'actif comportant la chaîne ftp dans la zone de valeur du filtre :

GET /api/asset_model/saved_searches?filter=filters%20contains%20value%20%3D%20ftp

Pour demander des actifs dont les interfaces contiennent l'adresse IP "192.0.2.0":

GET /api/asset_model/assets?filter=interfaces%20contains%20ip_addresses%20contains%20value%20%3D%20%192.0.2.0%22

Listes contenant des objets complexes

Pour les listes contenant des objets complexes, l'expression est une expression de filtrage complète pour les objets au sein de la liste. Cette expression de sous-filtre utilise la même syntaxe que n'importe quel autre filtre. Vous pouvez utiliser un opérateur dans le sous-filtre afin de tester les sous-listes situées à l'intérieur de la liste d'origine. Les identificateurs dans cette expression sont rattachées aux objets de la liste sur laquelle agit l'opérateur CONTAINS. Dans les expressions de sous-filtre complexes, les crochets sont obligatoires.

Pour demander uniquement des actifs comportant une zone value = 14 et l'opérateur Greater than , appliquez le filtre filters contains (value = 14 or operator = "Greater than"). Ce filtre renvoie le premier et le dernier éléments de la liste.

GET /api/asset_model/saved_searches?filter=filters%20contains%20(value%20%3D%2014%20and%20operator%20%3D%20%22Greater%20than%22)

Pour rechercher des infractions contenant les adresses source dont les valeurs d'ID sont inférieures à 3, appliquez le filtre suivant :

GET /api/siem/offenses?filter=source_address_ids%20contains%20(.%3C3)

Opérateur LIKE

Utilisez l'opérateur LIKE pour extraire des correspondances de chaîne de caractères partielle.

L'opérateur LIKE utilise le format suivant : identifier like "expression". Les guillemets autour de l'expression sont obligatoires. Les guillemets simples et double sont pris en charge. Le mot clé LIKE effectue des correspondances sensibles à la casse.

Les caractères génériques ci-après sont pris en charge. Si vous utilisez des caractères génériques dans une chaîne, vous devez les mettre en échappement.

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]

Vous pouvez combiner les caractères génériques dans la même expression. Par exemple, pour rechercher des serveurs dans domain1 ou domain2, utilisez l'expression: hostname LIKE "%.domain_".

GET /path/to/api?filter=hostname%20LIKE%20%22%25.domain_%22 
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 }
]

Notez que SERVER.domain n'est pas renvoyé car le trait de soulignement (_) n'a pas de caractère de fin correspondant.

L'opérateur ILIKE

Utilisez l'opérateur ILIKE pour extraire les correspondances de chaînes partielles insensibles à la casse.

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
] 

GET /path/to/api?filter=hostname%20ILIKE%20%22server.domain%22'
[
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]