AQL データ取得関数

Ariel 照会言語 (AQL) の組み込み関数を使用して、データ取得関数とフィールド ID プロパティーにより Ariel データベースからデータを取得します。

ヒント: AQL 照会で引用符を使用する方法については、引用符を参照してください。

以下の AQL 関数を使用して、Ariel データベースからデータを抽出します。

データ取得関数

applicationname
ARIELSERVERS4EPID
ARIELSERVERS4EPNAME
AssetHostname
ASSETPROPERTY
AssetUser
categoryName
コンポーネント ID (COMPONENTID)
ドメイン名
グローバル・ビュー
GEO: :LOOKUP (GEO: :LOOKUP)
GEO: :LOOKUP_BY_DOMAIN
GEO: :LOOKUP_TEXT (GEO: :LOOKUP_TEXT)
GEO: :LOOKUP_TEXT_BY_DOMAIN (GEO: :LOOKUP_TEXT_BY_DOMAIN)
GEO: :DISTANCE (GEO: :DISTANCE)
GEO: :DISTANCE_BY_DOMAIN
ホスト名
InCIDR
InOffense
LogSourceName
LogSourceGroupName
ログ・ソース・タイプ名
MATCHESASSETSEARCH
NetworkName
FULLNETWORKNAME (FULLNETWORKNAME)
OFFENSE_TIME (OFFENSE_TIME)
パラメーター EXCLUDESERVERS
PARAMETERS REMOTESERVERS
ProcessorName
protocolName
QidName
QIDESCRIPTION (QIDESCRIPTION)
ReferenceMap
REFERENCEMAPSETCONTAINS (REFERENCEMAPSETCONTAINS)
REFERENCETABLE
REFERENCESETCONTAINS
ルール名

`APPLICATIONNAME`

目的: アプリケーション ID によりフロー・アプリケーション名を返します

パラメーター: アプリケーション ID

例

SELECT APPLICATIONNAME(applicationid) 
AS 'Name of App' 
FROM flows

フロー・データベースからアプリケーションの名前を返します。これらのアプリケーション名は、別名である「Name of App」列にリストされます。

`ARIELSERVERS4EPID`

目的

PARAMETERS REMOTESERVERS または PARAMETERS EXCLUDESERVERS とともに ARIELSERVERS4EPID 関数を使用して、イベント・プロセッサー ID を指定します。

パラメーター

ARIELSERVERS4EPID(processor_ID)

次の例は、PARAMETERS REMOTESERVERS または PARAMETERS EXCLUDESERVERS とともに ARIELSERVERS4EPID 関数を使用する方法を示しています。

     PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPID(processor_ID)

     PARAMETERS REMOTESERVERS=ARIELSERVERS4EPID(processor_ID)

例

次の例では、ARIELSERVERS4EPID(8) からの検索結果のみが出力に含まれます。 ARIELSERVERS4EPID 関数のパラメーターとして指定するプロセッサー ID が QRadar のデプロイメントに含まれていない場合、その照会は実行されません。

 SELECT ARIELSERVERS4EPID(8), ARIELSERVERS4EPID(11), processorid, 
 PROCESSORNAME(processorid), 
 LOGSOURCENAME(logsourceid) from events 
 GROUP BY logsourceid 
 LAST 20 MINUTES 
 PARAMETERS REMOTESERVERS=ARIELSERVERS4EPID(8)

また、次の例に示すように、ARIELSERVERS4EPID 関数を使用して、ID で識別される特定のイベント・プロセッサーに接続された Ariel サーバーが返されるようにすることもできます。

 SELECT processorid, PROCESSORNAME(processorid), 
 ARIELSERVERS4EPID(processorid) 
 FROM events GROUP BY processorid

`ARIELSERVERS4EPNAME`

目的

PARAMETERS REMOTESERVERS または PARAMETERS EXCLUDESERVERS とともに ARIELSERVERS4EPNAME 関数を使用して、イベント・プロセッサー名を指定します。

パラメーター

ARIELSERVERS4EPNAME('eventprocessor_name')

次の例は、ARIELSERVERS4EPNAME を PARAMETERS REMOTESERVERS または PARAMETERS EXCLUDESERVERS とともに使用する方法を示しています。

PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPNAME ('eventprocessor104')

PARAMETERS REMOTESERVERS=ARIELSERVERS4EPNAME ('eventprocessor255')

例

次の例では、eventprocessor104 に関連するサーバーからのレコードが検索から除外されます。

SELECT processorid,PROCESSORNAME(processorid), 
LOGSOURCENAME(logsourceid) 
FROM events 
GROUP BY logsourceid 
PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPNAME ('eventprocessor104')

また、この関数を使用して、名前で識別されるイベント・プロセッサーに関連する Ariel サーバーが返されるようにすることもできます。

SELECT PROCESSORNAME(processorid), 
ARIELSERVERS4EPNAME(PROCESSORNAME(processorid)) 
FROM events GROUP BY processorid

名前が指定されたイベント・プロセッサーの Ariel サーバーを返します。

`ASSETHOSTNAME`

目的

ある時点でのアセットのホスト名を検索します。

特定のドメイン内のアセットをターゲットにするために、オプションでドメインを指定できます。

ASSETHOSTNAME(sourceip)

ASSETHOSTNAME(sourceip, NOW())

ASSETHOSTNAME(sourceip, domainid)

パラメーター

IP アドレス (タイム・スタンプとドメイン ID はオプション)

タイム・スタンプが指定されていない場合は、現在時刻が使用されます。

例

SELECT ASSETHOSTNAME(destinationip, NOW()) 
AS 'Host Name' 
FROM events

SELECT ASSETHOSTNAME(sourceip, NOW()) 
AS 'Host Name' 
FROM events

照会の時点でのアセットのホスト名を返します。

`ASSETPROPERTY`

目的

アセットのプロパティーを検索します。

特定のドメイン内のアセットをターゲットにするために、オプションでドメインを指定できます。

ASSETPROPERTY
('Unified Name', sourceIP, domainId)

パラメーター

プロパティー名、IP アドレス

ドメイン ID はオプションです

例

SELECT
ASSETPROPERTY('Location',sourceip) 
AS Asset_location,
COUNT(*) 
AS 'event count'
FROM events
GROUP BY Asset_location
LAST 1 days

送信元 IP アドレスに関連付けられているアセット・ロケーションを返します。

`ASSETUSER`

目的

ある時点でのアセットのユーザーを検索します。

特定のドメイン内のアセットをターゲットにするために、オプションでドメインを指定できます。

ASSETUSER(sourceIP,NOW(), domainId)

パラメーター: IP アドレス (タイム・スタンプとドメイン ID はオプション); タイム・スタンプが指定されていない場合は、現在時刻が使用されます。

例

SELECT 
ASSETUSER(sourceip, now()) 
AS 'Username of Asset' 
FROM events

送信元 IP アドレスに関連付けられているユーザー名を返します。

`CATEGORYNAME`

目的

カテゴリーの名前をカテゴリー ID で検索します。

CATEGORYNAME(Category)

パラメーター: カテゴリー

例

SELECT sourceip, category, 
CATEGORYNAME(category) 
AS 'Category name' 
FROM events

送信元 IP、カテゴリー ID、およびカテゴリー名を返します。

`COMPONENTID`

目的

指定された名前のコンポーネントの ID を取得します。

例えば、ARIELSERVERS4EPNAME() は ARIELSERVERS4EPID(COMPONENTID(<event_processor_name>)) 関数のショートカットです。

パラメーター

COMPONENTID(<component_name>))

例

SELECT  * from events where  processorid = COMPONENTID('eventprocessor0')

名前が指定されたイベント・プロセッサーのイベントを取得します。

`DOMAINNAME`

目的

ドメイン ID でドメイン名を検索します。

DOMAINNAME(domainID)

パラメーター: ドメイン ID

例

SELECT sourceip, username,
DOMAINNAME(domainid) 
AS 'Domain name' 
FROM events

イベント・データベースから送信元 IP、ユーザー名、およびドメイン名を返します。

`GLOBALVIEW`

目的

入力した時刻範囲に基づいて、指定された保存済み検索名に対する GLOBALVIEW データベース結果を返します。

この照会は、API を使用してのみ実行できます。

GLOBALVIEW データベースへのアクセスについて詳しくは、「 IBM® Security QRadar 管理ガイド」を参照してください。

パラメーター: 保存済み検索、時刻範囲 (DAILY, NORMAL, HOURLY)

例

SELECT * 
FROM GLOBALVIEW
('Top Log Sources','DAILY')
LAST 2 days

`GEO::LOOKUP`

目的: 選択された IP アドレスについて MaxMind によって提供された位置データを返します。データは JSON 形式で返されます。

パラメーター

IP アドレス (必須)

以下のうち少なくとも 1 つのストリングが必須です。

city, continent, physical_country, registered_country, represented_country, location, postal, subdivisions, traits, geo_json

例

SELECT sourceip, GEO::LOOKUP(sourceip, 'city') 
AS GEO_CITY 
FROM events last 10 minutes

`GEO::LOOKUP_BY_DOMAIN`

目的: 提供された位置データを返しますMaxMind,選択した IP アドレスとドメイン ID に対して。データは JSON 形式で返されます。

パラメーター

IP アドレス (必須)、ドメイン ID

以下のうち少なくとも 1 つのストリングが必須です。

city, continent, physical_country, registered_country, represented_country, location, postal, subdivisions, traits, geo_json

例

SELECT sourceip, GEO::LOOKUP_BY_DOMAIN(sourceip, 'city', 'my_domain_id') 
AS GEO_CITY 
FROM events last 10 minutes

`GEO::LOOKUP_TEXT`

目的: 提供された位置データをプレーンテキストで返します。MaxMind,選択した IP アドレスに対して。

パラメーター

IP アドレス (必須)、プリミティブ・フィールド名

以下のうち少なくとも 1 つのストリングが必須です。

city_name, geo_id, continent_name, continent_geo_id, country_name, country_geo_id, country_iso_code, physical_country_name, physical_country_geo_id, physical_country_iso_code, registered_country_name, registered_country_geo_id, registered_country_iso_code, accuracy_radius, latitude, longitude, metro_code, time_zone

例

SELECT sourceip, GEO::LOOKUP_TEXT(sourceip, 'city_name') 
AS GEO_CITY 
FROM events last 10 minutes

`GEO::LOOKUP_TEXT_BY_DOMAIN`

目的: 提供された位置データをプレーンテキストで返します。MaxMind,選択した IP アドレスとドメイン ID に対して。

パラメーター

IP アドレス (必須)、プリミティブ・フィールド名、ドメイン ID

以下のうち少なくとも 1 つのストリングが必須です。

例

SELECT sourceip, GEO::LOOKUP_TEXT_BY_DOMAIN(sourceip, 'city_name', 'my_domain_id') 
AS GEO_CITY 
FROM events last 10 minutes

`GEO::DISTANCE`

目的: 2 つの IP アドレスの距離 (キロメートル) を返します。

パラメーター: IP アドレス (2 つが必須)

例

SELECT GEO::DISTANCE(sourceip, destinationip) 
AS GEO_DISTANCE 
FROM events last 10 minutes

`GEO::DISTANCE_BY_DOMAIN`

目的: 2 つの IP アドレスの距離 (キロメートル) を返します。およびドメイン ID

パラメーター: IP アドレス (2 つが必須)、ドメイン ID

例

SELECT GEO::DISTANCE(sourceip, destinationip, domainid) 
AS GEO_DISTANCE 
FROM events last 10 minutes

`HOSTNAME`

目的

特定の processorID を持つイベント・プロセッサーのホスト名を返します。

HOSTNAME(processorId)

パラメーター: プロセッサー ID

例

SELECT HOSTNAME(processorId) FROM events

`INCIDR`

目的: INCIDR により指定された送信元/宛先 CIDR IP アドレスを参照することにより、SELECT ステートメントの出力をフィルターに掛けます。

パラメーター: IP/CIDR、IP アドレス

例

SELECT sourceip, username 
FROM events 
WHERE INCIDR('172.16.0.0/16', sourceip)

送信元 CIDR IP アドレスが 172.16.0.0/16 サブネットからのものである送信元 IP とユーザー名の列をフロー・データベースから返します。

その他の例を見る

`INOFFENSE`

目的: イベントまたはフローが指定されたオフェンスに属している場合、そのイベントまたはフローは以下を返します。true.

パラメーター: オフェンス ID

例

SELECT * FROM events
 WHERE InOffense(123)

SELECT * FROM flows
 WHERE InOffense(123)

`LOGSOURCENAME`

目的

ログ・ソースの名前をログ・ソース ID で検索します。

LOGSOURCENAME(logsourceid)

パラメーター: ログ・ソース ID

例

SELECT * FROM events 
WHERE LOGSOURCENAME(logsourceid) 
ILIKE '%mylogsourcename%'

ログ・ソース名に mylogsourcename を含む結果のみを返します。

SELECT LOGSOURCENAME(logsourceid) 
AS Log_Source 
FROM events

列別名 Log_source を返します。これはイベント・データベースからのログ・ソース名を表示します。

`LOGSOURCEGROUPNAME`

目的

ログ・ソース・グループの名前をログ・ソース・グループ ID で検索します。

LOGSOURCEGROUPNAME(deviceGroupList)

パラメーター: デバイス・グループ・リスト

例

SELECT sourceip, logsourceid 
FROM events 
WHERE LOGSOURCEGROUPNAME(devicegrouplist) 
ILIKE '%other%'

名前に「other」が含まれるログ・ソース・グループの送信元 IP アドレスとログ・ソース ID を返します。

`LOGSOURCETYPENAME`

目的

ログ・ソース・タイプの名前をデバイス・タイプで検索します。

LOGSOURCETYPENAME(deviceType)

パラメーター: 装置タイプ

例

SELECT LOGSOURCETYPENAME(devicetype) 
AS 'Device names', COUNT(*) 
FROM events 
GROUP BY "Device names" 
LAST 1 DAYS

デバイス名とイベント数を返します。

すべてのログ・ソース関数の例:

SELECT logsourceid, 
LOGSOURCENAME(logsourceid) 
AS 'Name of log source', 
LOGSOURCEGROUPNAME(devicegrouplist) 
AS 'Group Names', 
LOGSOURCETYPENAME(devicetype) 
AS 'Devices' 
FROM events 
GROUP BY logsourceid

ログ・ソース名、ログ・ソース・グループ名、およびログ・ソース・デバイス名を返します。

GROUP BY関数を使うと、GROUP BYリストの最初項目のみが結果に表示されます。

`MATCHESASSETSEARCH`

目的

保存済み検索の結果でアセットが返されている場合、true を返します。

MATCHESASSETSEARCH
('My Saved Search', sourceIP)

パラメーター: 保存済み検索名、IP アドレス

例

MATCHESASSETSEARCH
('My Saved Search', sourceIP)

`NETWORKNAME`

目的

渡されたホストについて、ネットワーク階層からネットワーク名を検索します。

NetworkName(sourceip)

特定のドメイン内のネットワークをターゲットにするために、オプションでドメインを指定できます。

NETWORKNAME(sourceip, domainId)

パラメーター: ホスト・プロパティー (ドメインはオプション)

例

SELECT NETWORKNAME(sourceip) 
ILIKE 'servers' 
AS 'My Networks' 
FROM flows

ネーム・サーバーが存在するすべてのネットワークを返します。

SELECT NETWORKNAME(sourceip, domainID) 
ILIKE 'servers' 
AS 'My Networks' 
FROM flows

特定のドメイン内にネーム・サーバーが存在するすべてのネットワークを返します。

SELECT NETWORKNAME(sourceip) 
AS 'Src Net',
NETWORKNAME(destinationip) 
AS Dest_net
FROM events

送信元 IP アドレスおよび宛先 IP アドレスに関連付けられているネットワーク名を返します。

`FULLNETWORKNAME`

目的

渡されたホストのネットワーク階層から、完全なネットワーク名を返します。

FULLNETWORKNAME(sourceip)

特定のドメイン内のネットワークをターゲットにするために、オプションでドメインを指定できます。

FULLNETWORKNAME(sourceip, domainId)

パラメーター: ホスト・プロパティー (ドメインはオプション)

例

SELECT FULLNETWORKNAME('1.2.3.4')
FROM events LIMIT 1

IP 1.2.3.4 の完全なネットワーク名を返します。

SELECT FULLNETWORKNAME(sourceip) AS fnn
FROM flows
WHERE fnn ILIKE 'servers'

ネーム・サーバーが存在するすべてのネットワークを返します。

`OFFENSE_TIME`

7.4.3 フィックスパック 1 の新機能

目的

照会を、オフェンスがアクティブである可能性のある適用可能な時間に制限します。

この機能により、照会の速度が向上します。

パラメーター: オフェンス ID

例

SELECT * FROM events
 WHERE INOFFENSE(12345) times OFFENSE_TIME(12345)

`PARAMETERS EXCLUDESERVERS`

目的: 指定されたサーバーを除外して検索基準をフィルタリングします。

パラメーター

[Server IP address:Port number]

イベント・プロセッサーにポート 32006 を、コンソールにポート 32011 を使用します。

パラメーターには引数のコンマ区切りリストを指定できます。例:

"host1:port1,host2:port2,host3:port3".

例

以下の例では、192.0.2.0 からの検索結果は除外されます。コンソールを除外するには、localhost または 127.0.0.1 を使用する必要があります。この照会ではコンソールの IP アドレスを使用しないでください。

SELECT processorid,PROCESSORNAME(processorid),
LOGSOURCENAME(logsourceid) 
from events 
GROUP BY logsourceid 
PARAMETERS EXCLUDESERVERS='192.0.2.0:32006'

次の例では、コンソールからの検索結果が除外されます。

SELECT processorid,PROCESSORNAME(processorid),
LOGSOURCENAME(logsourceid) FROM events 
GROUP BY logsourceid start '2017-03-15 10:26' 
STOP '2017-03-15 10:30' 
PARAMETERS EXCLUDESERVERS='127.0.0.1:32011'

次の例では、コンソールからの検索結果が除外されます。この例ではコンソールが localhost として示されています。

SELECT processorid,PROCESSORNAME(processorid),
LOGSOURCENAME(logsourceid) from events 
GROUP BY logsourceid start '2017-03-15 10:25' 
STOP '2017-03-15 10:30' 
PARAMETERS EXCLUDESERVERS='localhost:32011'

次の例では、複数の引数を使用して、コンソールと他の 2 つのサーバーからの検索結果を除外します。

SELECT processorid,PROCESSORNAME(processorid),
LOGSOURCENAME(logsourceid) from events 
GROUP BY logsourceid start '2017-04-15 10:25' 
STOP '2017-04-15 10:30' 
PARAMETERS EXCLUDESERVERS='127.0.0.1:32011,192.0.2.0:32006,172.11.22.31:32006'

次の関数を使用して、照会にイベント・プロセッサーの ID を指定します。

PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPID(processor_ID)

PARAMETERS EXCLUDESERVERS を指定した ARIELSERVERS4EPID を使用して、検索から除外するイベント・プロセッサー ID を指定することにより、クエリを詳細化します。 1 つ以上のイベント・プロセッサー ID を指定できます。

例

次の例では、ARIELSERVERS4EPID(8) からのすべての結果が検索で除外されます。

SELECT processorid, 
PROCESSORNAME(processorid), 
LOGSOURCENAME(logsourceid) from events 
GROUP BY logsourceid 
LAST 20 MINUTES 
PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPID(8)

次の関数を使用して、照会にイベント・プロセッサーの名前を指定します。

PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPNAME ('processor_name')

PARAMETERS EXCLUDESERVERS とともに ARIELSERVERS4EPNAME を使用してイベント・プロセッサーを名前で指定することにより、クエリを詳細化します。 1 つ以上のイベント・プロセッサー名を指定できます。

例

次の例では、eventprocessor104 に関連するサーバーからのレコードが検索から除外されます。

SELECT processorid,PROCESSORNAME(processorid), 
LOGSOURCENAME(logsourceid) 
FROM events 
GROUP BY logsourceid 
PARAMETERS EXCLUDESERVERS=ARIELSERVERS4EPNAME ('eventprocessor104')

`PARAMETERS REMOTESERVERS`

目的: PARAMETERS REMOTESERVERS 関数を使用して特定のサーバーに検索を絞り込むことで、すべてのホストを検索しなくてすむようになり、検索が迅速化されます。

パラメーター

[Server IP address:Port number]

イベント・プロセッサーにポート 32006 を、コンソールにポート 32011 を使用します。

引数が複数の場合は、次の例のようにコンマ区切りリストを使用します。

"host1:port1,host2:port2,host3:port3".

例

次の例では、指定されたサーバーのみが検索対象になります。

SELECT * FROM EVENTS START '2016-09-08 16:42' 
STOP '2016-09-08 16:47' 
PARAMETERS REMOTESERVERS='192.0.2.0:32006'

次の例では複数のサーバーが指定されており、コンソールと他の 2 つのサーバーからの検索結果が含まれるようになります。

SELECT processorid,PROCESSORNAME(processorid),
LOGSOURCENAME(logsourceid) from events 
GROUP BY logsourceid start '2017-04-15 10:25' 
STOP '2017-04-15 10:30' 
PARAMETERS REMOTESERVERS='127.0.0.1:32011,192.0.2.0:32006,172.11.22.31:32006'

次の関数を使用して、照会にイベント・プロセッサーの ID を指定します。

PARAMETERS REMOTESERVERS=ARIELSERVERS4EPID(processor_ID)

PARAMETERS
REMOTESERVERS

ARIELSERVERS4EPIDを使用してクエリを絞り込み、検索に含めるイベントプロセッサのIDを指定します。 1 つ以上のイベント・プロセッサー ID を指定できます。

例

次の例では、ARIELSERVERS4EPID(8) からの検索結果のみが出力に含まれます。

SELECT ARIELSERVERS4EPID(8), ARIELSERVERS4EPID(11), processorid, 
PROCESSORNAME(processorid), 
LOGSOURCENAME(logsourceid) from events 
GROUP BY logsourceid 
LAST 20 MINUTES 
PARAMETERS REMOTESERVERS=ARIELSERVERS4EPID(8)

注: ARIELSERVERS4EPID 関数のパラメーターとして指定したプロセッサー ID が QRadar デプロイメントに存在しない場合、照会は実行されません。

次の関数を使用して、照会にイベント・プロセッサーの名前を指定します。

PARAMETERS REMOTESERVERS=ARIELSERVERS4EPNAME ('eventprocessor_name')

ARIELSERVERS4EPNAMEと

PARAMETERS
REMOTESERVERS

を使用してクエリを絞り込み、検索に含めるイベントプロセッサの名前を指定します。 1 つ以上のイベント・プロセッサー名を指定できます。

例

次の例では、eventprocessor104 に関連する検索レコードのみが検索結果に含まれます。

SELECT processorid,PROCESSORNAME(processorid), 
LOGSOURCENAME(logsourceid) 
FROM events 
GROUP BY logsourceid 
PARAMETERS REMOTESERVERS=ARIELSERVERS4EPNAME ('eventprocessor104')

`PROCESSORNAME`

目的

プロセッサーの名前をプロセッサー ID により返します。

PROCESSORNAME(processorid)

パラメーター: プロセッサー ID 番号

例

SELECT sourceip, PROCESSORNAME(processorid) 
AS 'Processor Name' 
FROM events

送信元 IP アドレスとプロセッサー名をイベント・データベースから返します。

例

SELECT processorid, PROCESSORNAME(processorid) 
FROM events WHERE processorid=104 
GROUP BY processorid LAST 5 MINUTES

104 というプロセッサー ID を持つイベント・プロセッサーから結果を返します。

`PROTOCOLNAME`

目的: プロトコルの名前をプロトコル ID により返します。

パラメーター: プロトコル ID 番号

例

SELECT sourceip, PROTOCOLNAME(protocolid) 
AS 'Name of protocol' 
FROM events

送信元 IP アドレスとプロトコル名をイベント・データベースから返します。

`QIDNAME`

目的

QID の名前を QID で検索します。

QIDNAME(qid)

パラメーター: QID

例

SELECT QIDNAME(qid) 
AS 'My Event Names', qid 
FROM events

QID 名と QID 番号を返します。

`QIDESCRIPTION`

目的

QID の説明を QID で検索します。

QIDDESCRIPTION(qid)

パラメーター: QID

例

SELECT QIDDESCRIPTION(qid) 
AS 'My_Event_Names', QIDNAME(qid) 
AS 'QID Name' 
FROM events

QID の説明と QID 名を返します。

`REFERENCEMAP`

目的

リファレンス・マップ内のキーの値を検索します。

ReferenceMap('Value',Key,domainID)

domainID はオプションですが、ドメイン対応環境では、domainID が除外されると検索は共有リファレンス・データのみに制限されます。

パラメーター: ストリング、ストリング、整数

例

SELECT 
REFERENCEMAP('Full_name_lookup', username, 5)
AS Name_of_User
FROM events

指定されたドメインにおいて Full_name_lookup リファレンス・マップで userName (キー) を検索し、ユーザー名 (キー) に対する氏名 (値) を返します。

`REFERENCEMAPSETCONTAINS`

目的

ドメインの場合、セットのリファレンス・マップ内のキーに対して値が存在する場合に true を返します。

REFERENCEMAPSETCONTAINS(MAP_SETS_NAME, KEY, VALUE)

パラメーター: ストリング、ストリング、ストリング

例

ReferenceMapSetContains('RiskyUsersForIps','sourceIP','userName')

`REFERENCETABLE`

目的

特定のリファレンス・テーブル集合内のテーブル・キーによって識別されるテーブル内の列キーの値を参照します。

REFERENCETABLE
('testTable','value','key', domainID) 
or 
REFERENCETABLE
('testTable','value','key' domainID)

domainID はオプションですが、ドメイン対応環境では、domainID が除外されると検索は共有リファレンス・データのみに制限されます。

パラメーター: ストリング、ストリング、ストリング (または IP アドレス)、整数

例

SELECT 
REFERENCETABLE('user_data','FullName',username, 5) 
AS 'Full Name',
REFERENCETABLE('user_data','Location',username, 5) 
AS Location, 
REFERENCETABLE('user_data','Manager',username, 5) 
AS Manager
FROM events

username (キー) の氏名 (値)、ロケーション (値)、およびマネージャー (値) を user_data から返します。

その他のリファレンス・データの例を見る

`REFERENCESETCONTAINS`

目的

値が特定のリファレンス・セットに含まれている場合は、以下を返します。true.

REFERENCESETCONTAINS
('Ref_Set', 'value', domainID)

domainID はオプションですが、ドメイン対応環境では、domainID が除外されると検索は共有リファレンス・データのみに制限されます。

パラメーター: ストリング、ストリング、整数

例

SELECT 
ASSETUSER(sourceip, NOW()) 
AS 'Source Asset User'
FROM flows
WHERE 
REFERENCESETCONTAINS('Watchusers', username, 5)
GROUP BY "Source Asset User"
LAST 24 HOURS

username (値) が Watchusers リファレンス・セットに含まれている場合に、アセット・ユーザーを返します。

`RULENAME`

目的

渡された 1 つ以上のルール ID に基づいて 1 つ以上のルール名を返します。

RULENAME(creeventlist)


RULENAME(3453)

パラメーター: 単一のルール ID、またはルール ID のリスト。

例

SELECT * FROM events
WHERE RULENAME(creEventList) 
ILIKE '%my rule name%'

特定のルール名を起動するイベントを返します。

SELECT RULENAME(123) 
FROM events

ルール ID によりルール名を返します。