ユーザーとネットワークのモニター照会の例

ユーザーとネットワークのモニター AQL 照会の作成に役立つように、照会の例を使用します。

次の例を使用して、ユーザーとネットワークをモニターします。要件に適合するように照会を編集することもできます。

24 時間以内に 3 つ以上の IP アドレスから VPN を使用してネットワークにアクセスしたユーザーの検索

SELECT username, 
UNIQUECOUNT(sourceip) 
AS 'Source IP count' 
FROM events 
WHERE LOGSOURCENAME(logsourceid) 
ILIKE '%VPN%' 
AND username IS NOT NULL 
GROUP BY username 
HAVING "Source IP count" >= 3
ORDER BY "Source IP count" 
DESC 
LAST 24 HOURS

この照会では、username 列と Source IP count 列が出力されます。

username 列からは、過去 24 時間に 3 つ以上の IP アドレスから VPN を使用してネットワークにアクセスしたユーザーの名前が返されます。

24 時間内に複数の地理的位置から VPN を使用したユーザーの検索

SELECT username, UNIQUECOUNT(geographiclocation) 
AS 'Count of locations' 
FROM events 
WHERE LOGSOURCENAME(logsourceid) 
ILIKE '%VPN%' 
AND geographiclocation <> 'other location' 
AND username 
IS NOT NULL 
GROUP BY username 
HAVING "Count of locations" > 1 
ORDER BY "Count of locations" 
DESC 
LAST 3 DAYS

この照会では、username 列と Count of locations 列が出力されます。

username 列からは、過去 24 時間に「他の場所」とは呼ばれない複数の場所から VPN を使用したユーザーの名前が返されます。

ローカルからリモートへのフロー・トラフィックのネットワーク別モニター

SELECT sourceip, 
LONG(SUM(sourcebytes+destinationbytes)) 
AS TotalBytes 
FROM flows 
WHERE flowdirection= 'L2R' 
AND NETWORKNAME(sourceip) 
ILIKE 'servers' 
GROUP BY sourceip
ORDER BY TotalBytes

この照会では、sourceip 列と TotalBytes 列が出力されます。

TotalBytes 列からは、ローカルからリモートに渡る送信元と宛先のバイト数合計が返されます。

リモートからローカルへのフロー・トラフィックのネットワーク別モニター

SELECT sourceip, 
LONG(SUM(sourcebytes+destinationbytes)) 
AS TotalBytes 
FROM flows 
WHERE flowdirection= 'R2L' 
AND NETWORKNAME(sourceip) 
ILIKE 'servers' 
GROUP BY sourceip
ORDER BY TotalBytes

この照会では、sourceip 列と TotalBytes 列が出力されます。

TotalBytes 列からは、リモートからローカルへの送信元と宛先のバイト数合計が返されます。

アプリケーション名、ユーザー、およびフロー・トラフィック別のアプリケーションの使用状況

SELECT sourceip 
AS Source_IP, 
FIRST(destinationip) 
AS Destination_IP, 
APPLICATIONNAME(applicationid) 
AS Application, 
DATEFORMAT(lastpackettime, 'dd-MM-yyyy hh:m:ss') 
AS 'Start Time', 
FIRST(sourcebytes) 
AS Source_Bytes, 
ASSETUSER(sourceip, NOW()) AS Src_Asset_User 
FROM flows 
GROUP BY Source_IP 
ORDER BY Source_Bytes DESC

この照会では、アセットのユーザー、アプリケーション名、およびフロー・データに関するデータが出力されます。この照会を使用して、特定のユーザー・アクティビティーやアプリケーションの使用状況を報告したり、目的の結果を達成するためにこの照会のバリエーションを作成したりします。

アセットの場所

SELECT ASSETPROPERTY('Location',sourceip) 
AS asset_location, 
COUNT(*) 
FROM events 
GROUP BY asset_location 
LAST 1 days

この照会では、asset_location 列と count 列が出力されます。

asset_location 列からは、アセットの場所が返されます。

AQL ガイドからの照会例のコピー

AQL ガイドから照会引用符または二重引用符が含まれる照会の例をコピーして貼り付けるときは、照会が確実に解析されるように、引用符を再入力する必要があります。