特定のオフェンスを検出するためのイベント・データおよびフロー・データの照会

QRadar Analyst Workflow 照会ビルダーで Ariel 照会言語 (AQL) 検索を作成して、特定のイベント・データおよびフロー・データを検索します。

このタスクについて

検索履歴を使用するか、照会ビルダーにキーワードを直接入力することで、検索を作成します。 この情報は、照会テンプレートに入力されます。このテンプレートを使用して、ニーズに合わせてさらにカスタマイズしたり、手動で独自の検索を作成したりすることができます。
ヒント: AQL を使用せずに照会を作成するには、 ビジュアル照会ビルダーを試してください。

手順

  1. ナビゲーション・メニュー (ナビゲーション・メニュー・アイコン) から、 「検索」をクリックし、 「拡張ビルダー」 タブを選択します。
  2. 照会を開始するには、 「照会ビルダー」 に以下のいずれかのキーワードを入力します。
    • IP アドレス
    • URL
    • MD5/SHA-1/SHA-256 ハッシュ
  3. キーワードを入力すると表示されるリストから、事前定義された検索のいずれかを選択します。
  4. 照会テンプレートを確認して編集し、検索を絞り込み、 「照会の実行」をクリックします。
    ヒント:
    • 構文トークンは、トークン・クラスに基づいて色分けされます。
    • 構文的に正しい AQL ストリングの場合、ペアの括弧の間にカーソルが置かれると、それらの括弧に下線が表示されます。
      (startTime, 'MMM dd hh:mm a')
  5. 検索結果をさらに絞り込み、オフェンスを選択して詳細を表示するには、 「フィルター」 をクリックします。
  6. 既存の検索結果を実行するには、 「最終検索」 フィールドで照会を選択して照会ビルダーに追加し、 「照会の実行」をクリックします。
  7. オプション: 「トレーニングとリソース (Training and resources)」 セクションを展開して、AQL 照会の詳細を確認します。

例

以下は、AQL 照会の例を示しています。

SELECT sourceip, destinationip, username 
FROM events 
WHERE username = 'test name' 
GROUP by sourceip, destinationip 
ORDER BY sourceip DESC 
LIMIT 10 
LAST 2 DAYS

QRadar Analyst Workflowでの照会の作成について詳しくは、この 検索機能に関するビデオ・ウォークスルーを参照してください。

AQL 照会について詳しくは、以下の資料およびトレーニング・リソースを参照してください。