複雑な照会の場合は、拡張検索式を使用して、 X-Force
Exchange からデータを検索およびフィルタリングすることができます。
このタスクについて
拡張検索は、 「ログ・アクティビティー」 または QRadarの 「ネットワーク・アクティビティー」 タブからデータを返します。
URL の情報はイベント・データによって提供されるため、「ネットワーク・アクティビティー」タブで URL 検索を返すことはできません。
IBM
X-Force Exchangeからデータを検索するときに使用できるパラメーターと関数のリストについては、 https://exchange.xforce.ibmcloud.com/faq#ipr_categories_list を参照してください。
手順
- 「ログ・アクティビティー」 タブをクリックします。
- 「検索」 ツールバーで、 「拡張検索」を選択します。
- AQL 照会の式を入力します。
以下の表に、使用頻度の高い検索式をいくつか示します。
表 1. X-Force 拡張検索式
| 説明 |
例 |
| 悪いカテゴリーに該当するフローから HTTPを検索します。 |
select * from flows where
XFORCE_URL_CATEGORY("HTTP Host") in ('Anonymization Services','Malware',
'Botnet Command and Control Server', 'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
|
| 不良カテゴリーに一致するイベントで検出された URL を検索します。 |
select * from events where
XFORCE_URL_CATEGORY("UrlHost") in ('Anonymization Services','Malware', 'Botnet Command and Control Server',
'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
|
| 75 を超える信頼性係数を持つ不良カテゴリーに一致する IP アドレスを検索します。 |
select * from events where
XFORCE_IP_CONFIDENCE('Anonymization Services',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Malware',destinationaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Spam',destinationaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',destinationaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Scanning IPs',destinationaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Bots',destinationaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Anonymization Services',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Malware',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Spam',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Scanning IPs',sourceaddress) > 75 OR
XFORCE_IP_CONFIDENCE('Bots',sourceaddress) > 75
|
| URL に関連付けられたデータを検索する場合 |
select url,
XFORCE_URL_CATEGORY(url)
as myCategories from events where
XFORCE_URL_CATEGORY(url) IS NOT NULL
|
| 送信元 IP アドレスに関連付けられたデータを検索する場合 |
select sourceip,
XFORCE_IP_CATEGORY(sourceip)
as IPcategories from events where
XFORCE_IP_CATEGORY(destinationip) in ('Malware', 'Botnet Command and Control Server',
'Spam', 'Cryptocurrency Mining', 'Scanning IPs', 'Bots', 'Phishing')
|
- 「検索」をクリックします。