拡張検索オプション
「拡張検索」 フィールドを使用して、必要なフィールドと、それらをグループ化して照会を実行する方法を指定する Ariel 照会言語 (AQL) を入力します。
注: AQL 照会を入力する場合、ストリング比較には単一引用符を使用し、プロパティー値比較には二重引用符を使用します。
重要:
XFORCE_IP_CONFIDENCE 関数は、英語以外の言語の AQL 拡張検索では機能しません。「拡張検索」フィールドには、 オートコンプリートおよび構文強調表示の機能が備わっています。
オートコンプリートおよび構文強調表示の機能は照会の作成に便利です。 サポートされる Web ブラウザーについては、 サポートされる Web ブラウザー を参照してください。
注: 「ログ・アクティビティー」 タブでクイック・フィルターを使用する場合は、拡張検索を実行する前にブラウザー・ウィンドウを最新表示する必要があります。
拡張検索へのアクセス
「ネットワーク・アクティビティー」タブおよび「ログ・アクティビティー」タブにある 「検索」ツールバーから 「拡張検索」オプションにアクセスし、AQL 照会を入力します。
「検索」 ツールバーのリスト・ボックスから 「拡張検索」 を選択します。
「拡張検索」フィールドを展開するには、以下の手順を実行します。
- フィールドの右側にある展開アイコンをドラッグします。
- Shift キーを押しながら Enter キーを押して次の行に移動します。
- Enter キーを押します。
検索結果にある任意の値を右クリックして、その値をフィルター処理できます。
検索結果の任意の行をダブルクリックすると詳細が表示されます。
検索はすべて (AQL 検索も含めて) 監査ログに記録されます。
AQL 検索ストリングの例
AQL 検索ストリングの例を以下の表に示します。
| 説明 | 例 |
|---|---|
イベントにあるデフォルトの列を選択します。 フローにあるデフォルトの列を選択します。 |
SELECT * FROM events SELECT * FROM flows |
| 特定の列を選択します。 | SELECT sourceip, destinationip FROM events |
| 特定の列を選択して結果を並べ替えます。 | SELECT sourceip, destinationip FROM events ORDER BY destinationip |
| 集約された検索照会を実行します。 | SELECT sourceip, SUM(magnitude) AS magsum FROM events GROUP BY sourceip |
| SELECT 節で関数呼び出しを実行します。 | SELECT CATEGORYNAME(category) AS namedCategory FROM events |
| WHERE 節を使用して検索結果をフィルター処理します。 | SELECT CATEGORYNAME(category) AS namedCategory, magnitude FROM events WHERE magnitude > 1 |
| ルール名またはルール名に含まれる一部のテキストに基づいて、特定のルールをトリガーしたイベントを検索します。 | SELECT LOGSOURCENAME(logsourceid), * from events where RULENAME(creeventlist) ILIKE '%suspicious%' |
| フィールド名を二重引用符で囲むことによって、特殊文字 (算術記号やスペースなど) を含むフィールド名を参照します。 | SELECT sourceip, destinationip, "+field/name+" FROM events WHERE "+field/name+" LIKE '%test%' |
以下の表に、 X-Forceの AQL 検索ストリングの例を示します。
| 説明 | 例 |
|---|---|
| 信頼値を持つ X-Force カテゴリーに対して IP アドレスを検査します。 | select * from events where XFORCE_IP_CONFIDENCE('Spam',sourceip)>3 |
| URL X-Force URL カテゴリーを検索します。 | select url, XFORCE_URL_CATEGORY(url) as myCategories from events where XFORCE_URL_CATEGORY(url) IS NOT NULL |
| IP に関連付けられた X-Force IP カテゴリーを取得します。 | select sourceip, XFORCE_IP_CATEGORY(sourceip) as IPcategories from events where XFORCE_IP_CATEGORY(sourceip) IS NOT NULL |
関数、検索フィールド、および演算子について詳しくは、「Ariel 照会言語ガイド」を参照してください。