QRadar Network Packet Capture 照会言語 (NTQL)

QRadar® Network Packet Capture Query Language (NTQL) を使用して、キャプチャーされたパケットからデータを取得します。

例えば、以下の種類の情報に NTQL を使用できます。

注: NTQL では大/小文字が区別されます。

全件一致

空の NTQL ストリングはすべてのパケットに一致するため、一致件数が制限される場合に便利です。

特定のホストに送信されたパケットを検索するには、以下のストリングを入力します。

src host <IP address>

ホストから送信されたパケットを検索するには、以下のストリングを入力します。

dst host <IP address>

TCP ポートまたは UDP ポートとの間で送受信されたパケットを検索するには、以下のストリングを入力します。

port <number>

ポート番号のないプロトコルを使用して送信されたパケットは、この検索では破棄されます。

検索結果を特定のポートから送信されたパケットに絞り込むには、以下のストリングを入力します。

src port <number>

特定のポートに送信されたパケットを検索するには、以下のストリングを入力します。

dst port <number>

特定のレイヤー 3 プロトコルを使用したパケットを検索するには、以下のストリングを入力します。

l3proto <protocol>

ここで、<protocol> はプロトコルの番号または名前です。サポートされているプロトコル名は以下のとおりです。

プロトコルとして ip を指定すると、IPv4 が使用されます。

特定のレイヤー 4 プロトコルを使用したパケットを検索するには、以下のストリングを入力します。

l4proto <protocol>

ここで、<protocol> はプロトコルの番号または名前です。サポートされている名前は以下のとおりです。

検索語を and および or のキーワードで結合すると、より複雑な式を記述できます。例えば、1.1.1.1 または 2.2.2.2 との間で送受信されたパケットを検索するには、以下のストリングを入力します。

host 1.1.1.1 or host 2.2.2.2

1.1.1.1 または 2.2.2.2 との間で送受信されたパケットを検索するには、以下のストリングを入力します。

host 1.1.1.1 and host 2.2.2.2

これらのキーワードは左結合です。例として以下の構文について考えます。

port 42 and host 1.1.1.1 or host 2.2.2.2

この式は以下のように評価されます。

以下の例に示すように、括弧を使用してこの左結合を変更することができます。

port 42 and (host 1.1.1.1 or host 2.2.2.2)

この式を評価させると、ポート 42 との間で送受信され、かつホスト 1.1.1.1 または 2.2.2.2 との間で送受信されたパケットが検索されます。