ルックアップ

指定された URL にあるデータ構造に VALUE が含まれている場合、TRUE を返します。 プレーン・テキスト・ファイルまたは JSON ファイル (配列が含まれているもの) がサポートされます。 HTTP HEADERS は、必要な場合に、認証情報または他のヘッダーで渡される JSON 構造です。

URL

ルックアップにロードするリソースを指す完全修飾 URL。 URLは QRadar、および QRadarとフロープロセッサからアクセス可能でなければなりません。

URL 検索の応答は、テキスト・ファイルとして扱われます。 応答の各行は、ルックアップで 1 つの値としてロードされます。

例https://192.0.2.0/md5_blocklist.txt

価値

ルックアップで検索する値。 ほとんどの場合、この値はイベントまたはフローのプロパティーです。

例: File_Hash

HTTP HEADERS

JSON のキーと値のペアが含まれたストリング。 キーと値の各ペアは、ルックアップをフェッチする要求に HTTP ヘッダーとして追加され、認証資格情報などの情報を渡すことができるようになります。

例: ‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’

例:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::CONTAINS(‘https://192.0.2.0/md5_blocklist.txt’, File_Hash, 
‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’ 

指定された URL にあるデータ構造に含まれている正規表現のいずれかに VALUE が一致した場合に、一致した正規表現を返します。 プレーンテキストファイルまたは QRadar のどちらかをサポートします。 HTTP HEADERS は、必要な場合に、認証情報または他のヘッダーで渡される JSON 構造です。

URL

テストするリソースを指す完全修飾 URL。 URLは QRadar、および QRadarとフロープロセッサからアクセス可能でなければなりません。

URL 検索の応答は、以下のいずれかのフォーマットにすることができます。

• プレーン・テキスト・ファイル。 応答の各行は、ルックアップで 1 つの正規表現としてロードされます。
• 単一のリスト項目が含まれた JSON ファイル。 リスト内の各項目は、ルックアップで 1 つの正規表現としてロードされます。
• QRadar リファレンスセットAPIを指URL。 リファレンス・セット内の各項目は、ルックアップで 1 つの正規表現としてロードされます。

例https://example.com/api/reference_data/sets/url_blocklist

価値

ルックアップで正規表現の一致を検索する値。 ほとんどの場合、この値はイベントまたはフローのプロパティーです。

例: URL

HTTP HEADERS

JSON のキーと値のペアが含まれたストリング。 キーと値の各ペアは、ルックアップをフェッチする要求に HTTP ヘッダーとして追加され、認証資格情報などの情報が渡されます。

例: ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’

例:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::MATCH(‘https://example.com/api/reference_data/sets/url_blocklist’, 
URL, ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL 

指定された URL にあるデータ構造に含まれているクラスレス・ドメイン間ルーティング (CIDR) 表現のいずれかに VALUE が一致した場合に、一致した CIDR を返します。 プレーンテキストファイル、または QRadar のどちらかをサポートします。 HTTP HEADERS は、必要な場合に、認証情報または他のヘッダーで渡される JSON 構造です。

URL

テストするリソースを指す完全修飾 URL。 URLは QRadar、および QRadarとフロープロセッサからアクセス可能でなければなりません。

URL 検索の応答は、以下のいずれかのフォーマットにすることができます。

• プレーン・テキスト・ファイル。 応答の各行は、ルックアップで 1 つの CIDR 表現としてロードされます。
• 単一のリスト項目が含まれた JSON ファイル。 リスト内の各項目は、ルックアップで 1 つの CIDR 表現としてロードされます。
• QRadar リファレンス・セット API を指す URL。 リファレンス・セット内の各項目は、ルックアップで 1 つの CIDR 表現としてロードされます。

例https://example.com/api/reference_data/sets/cidr_blocklist

価値

ルックアップで CIDR 表現の一致を検索する値。 ほとんどの場合、この値は、IP アドレスに解決されるイベントまたはフローのプロパティーです。

例: sourceIP

HTTP HEADERS

JSON のキーと値のペアが含まれたストリング。 キーと値の各ペアは、ルックアップをフェッチする要求に HTTP ヘッダーとして追加され、認証資格情報などの情報が渡されます。

例: ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’

例:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::CIDRLIST(‘https://example.com/api/reference_data/sets 
/cidr_blocklist’, sourceIP, ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL 

指定された URL にある CSV 内にある、INDEX で参照されている列に含まれている正規表現のいずれかに VALUE が一致した場合に、一致した表現を返します。 列の 1 つが正規表現である、列が含まれている CSV ファイルがサポートされます。 HTTP HEADERS は、必要な場合に、認証情報または他のヘッダーで渡すことができる JSON 構造です。

URL

ルックアップにロードするリソースを指す完全修飾 URL。 URLは QRadar、および QRadarとフロープロセッサからアクセス可能でなければなりません。

URL 検索の応答は、CSV ファイルでなければなりません。 各行の INDEX フィールドは、ルックアップで 1 つの正規表現としてロードされます。

例https://192.0.2.0/blocklist.csv

INDEX

ルックアップにロードする必要がある、各行のフィールド番号。

例: 2

価値

ルックアップで検索する値。 ほとんどの場合、この値はイベントまたはフローのプロパティーです。

例: File_Hash

HTTP HEADERS

JSON のキーと値のペアが含まれたストリング。 キーと値の各ペアは、ルックアップをフェッチする要求に HTTP ヘッダーとして追加され、認証資格情報などの情報が渡されます。

例: ‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’

例:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::MATCH_CSV(‘http://192.0.2.0/blocklist.csv’, 2, userName, 
‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL