イベントのフィルタリング

包含フィルター

包含フィルターは、エージェントがそれらのイベントを QRadarに送信するようにするフィルターです。 その構文では、ID を指定します。 複数の ID をコンマで区切ることも、ID の範囲を指定することもできます。 以下の例には、7022 から 7026 の範囲、7031 から 7034 の範囲、および 7045 のいずれかのイベント ID 7000 が含まれています。

7000,7022-7026,7031-7034,7045

除外フィルター

除外フィルターは、エージェントがこれらのイベントを QRadarに送信しないようにするフィルターです。 構文は包含フィルターに似ています。違いは、すべてを括弧で囲み、フィルターの先頭にハイフンを追加することです。 以下の例では、イベント ID 7000、7022 から 7026 までの範囲、7031 から 7034 までの範囲、および 7045 を除外します。

-(7000,7022-7026,7031-7034,7045)

暗黙フィルターは、含めるイベント ID のコンマ区切りリストでなければなりません。 それぞれの値は、単一の数値または範囲のいずれかにすることができます。 フィルターに一致するイベント ID を持たないイベントは、デフォルトで除外されます。

例えば、以下のフィルターには、0 から 10 までのイベント ID、12 から 16 までのイベント ID、イベント ID 17、および 20 以上のイベント ID が含まれます。

-10, 12-16, 17, 20-

5, 10, 15-20, 25, -30

フィールドと値は、以下の比較演算子に基づいて評価されます。

論理演算子を使用して、複数の条件をつなげることができます。

コンマ

フィルターで、複数の値をコンマで区切ってフィールドに指定できるようになりました。 例:

Source == Outlook, MsiInstaller

この例では、コンマは OR 演算子として扱われます。つまり、このフィルターは、「Outlook」または「MsiInstaller」のいずれかの 「ソース」 フィールドを持つイベントを許可します。 同じフィルターを長い形式で構成して、同じ結果を得ることができます。 例:

Source == Outlook OR Source == MsiInstaller

ヒント: コンマの後にスペースは必要ありません。

引用符

フィルターには、単一引用符と二重引用符の両方を含めることができます。 例:

Message == "this is a test"

Message == 'this is a test'

ワイルドカード文字

matches 演算子または does not match 演算子を使用する式では、いくつかの特殊記号の使用もサポートされます。

文字	説明
?	任意の単一文字の照合を行います。
*	任意の数の文字に一致します。
#n	単一の数値 n に一致します。
#n-m	n から m までの範囲の任意の数値に一致します。
##	リテラル文字 # と一致します。

例えば、以下の式は、 「メッセージ」 フィールドが「Error 3: An error has occurred. Shutting down.」に等しいが、「Error 10: An error has occurred. Shutting down.」や「Error 5: An error has occurred. No action taken.」には等しくないイベントに対して true となります。

Message =~ Error #2-6: * Shutting down.

例:

Application(200-256,4097,34);Security(1);Symantec(1,13)

空のリストには、 EventIDsは含まれません。 例えば、このフィルターにはイベントは含まれません。

Security()