検索例: 日次従業員レポート

複雑な拡張検索照会を使用して特定の従業員情報を表示する方法を次の例に示します。

ID 管理の目的で、 QRadarでユーザー・アクティビティーの日次レポートを生成することにします。 このレポートには、従業員の名前、シリアル番号、上司の名前、アクティビティーなど、従業員に関する各種の情報を記録する必要があります。

QRadarでは、1 人の従業員が複数のユーザー名を持つことがあります。 そのため、RESTful API を使用して、関連するすべてのユーザー名を従業員の名前 Global_User に返す参照マップを作成します。 シリアル番号と上司の名前については、別の参照データ・セットを作成して参照マップに追加します。

従業員のアクティビティーは、ログインの失敗から QRadar タスク (オブジェクトの削除など) まで多岐にわたります。 これらのイベントは、 QRadarによって記録されます。 イベントの発生頻度をマップ内で指定することにより、疑わしいアクティビティーが発生するタイミングを測定することができます。 また、従業員名とイベント名でデータをグループ化し、24 時間の範囲内で最も発生頻度の高いイベントを使用してデータをソートすることができます。

この日次レポートを表示するには、 QRadar Consoleにログインします。 「ログ・アクティビティー」タブの「拡張検索」テキスト・ボックスで、以下の検索照会を入力します。

select REFERENCEMAP('GlobalID_Mapping', username) as Global_User, QIDNAME(qid) as 'Event Name', count(*) as 'Event Count', FIRST(username) as UserId, REFERENCETABLE('employee_data','SerialNum', Global_user) as 'Serial Number', REFERENCETABLE('employee_data','Manager',Global_User) as Manager from events where (Global_User IS NOT NULL) GROUP BY Global_user,'Event Name' ORDER BY 'Event Count' DESC last 1 DAYS