リファレンス・データ照会の例

AQL 照会を使用して、リファレンス・セット、リファレンス・マップ、またはリファレンス・テーブルからデータを取得します。リファレンス・セットにデータを設定するためのルールを使用するか、LDAP Threat Intelligence アプリケーションなどの外部の脅威フィードを使用するか、リファレンス・セット用にインポートしたデータ・ファイルを使用することで、リファレンス・セットを作成し、データを設定できます。

ヒント: AQL 照会で引用符を使用する方法については、引用符を参照してください。

リファレンス・データからデータを抽出するための照会の作成に役立つように、次の例を使用します。

イベントに表示するユーザー名用の外部メタデータを取得するためのリファレンス・テーブルの使用

SELECT
REFERENCETABLE('user_data','FullName',username) AS 'Full Name',
REFERENCETABLE('user_data','Location',username) AS 'Location',
REFERENCETABLE('user_data','Manager',username) AS 'Manager',
UNIQUECOUNT(username) AS 'Userid Count',
UNIQUECOUNT(sourceip) AS 'Source IP Count',
COUNT(*) AS 'Event Count'
FROM events
WHERE qidname(qid)ILIKE '%logon%'
GROUP BY "Full Name", "Location", "Manager"
LAST 1 days

リファレンス・テーブルを使用して、外部データ (過去 24 時間にネットワークにログインしたユーザーの氏名、場所、および管理者名など) を取得します。

疑わしいアクティビティーのフラグが立てられているイベント内のユーザーのグローバル・ユーザー ID の取得

SELECT
REFERENCEMAP('GlobalID_Mapping',username) AS 'Global ID', 
REFERENCETABLE('user_data','FullName', 'Global ID') AS 'Full Name',
UNIQUECOUNT(username),
COUNT(*) AS 'Event count'
FROM events
WHERE RULENAME(creEventlist) 
ILIKE '%suspicious%'
GROUP BY "Global ID"
LAST 2 days

この例では、個々のユーザーがネットワーク全体にわたって複数のアカウントを持っています。組織は、ユーザーのアクティビティーの単一のビューを必要とします。リファレンス・データを使用して、ローカルのユーザー ID をグローバル ID にマップします。照会は、疑わしい振る舞いのフラグが立てられているイベントについて、グローバル ID によって使用されているユーザー・アカウントを返します。

イベントで返されたユーザー名に対するグローバル・ユーザー名の、リファレンス・マップの検索を使用した抽出

SELECT
QIDNAME(qid) as 'Event name', 
starttime AS Time,
sourceip AS 'Source IP', 
destinationip AS 'Destination IP',
username AS 'Event Username',
REFERENCEMAP('GlobalID_Mapping', username) AS 'Global User'
FROM events
WHERE "Global User" = 'John Ariel'
LAST 1 days

リファレンス・マップを使用して、イベントで返されたユーザー名に対するグローバル・ユーザー名を検索します。 WHERE 節を使用して、グローバル・ユーザー John Ariel に対するイベントのみを返します。 John Ariel は、数個の異なるユーザー名を持っている可能性がありますが、これらのユーザー名は外部の識別マッピング・システムなどでグローバル・ユーザーにマップされているため、グローバル・ユーザーを、同じグローバル・ユーザーによって使用されている数個のユーザー名にマップできます。

ユーザーによる高いネットワーク使用率のモニター

SELECT
LONG(REFERENCETABLE('PeerGroupStats', 'average', 
REFERENCEMAP('PeerGroup',username)))
AS PGave,
LONG(REFERENCETABLE('PeerGroupStats', 'stdev', 
REFERENCEMAP('PeerGroup',username)))
AS PGstd, 
SUM(sourcebytes+destinationbytes) AS UserTotal
FROM flows
WHERE flowtype = 'L2R'
GROUP BY UserTotal 
HAVING UserTotal > (PGAve+ 3*PGStd)

フロー使用率が平均的なユーザーより 3 倍高いユーザー名を返します。

ピアのネットワーク使用率をユーザー名および合計バイト数ごとに格納するためのリファレンス・セットが必要です。

脅威の等級とカテゴリー

SELECT 
REFERENCETABLE('ip_threat_data','Category',destinationip) 
AS 'Threat Category',
REFERENCETABLE('ip_threat_data','Rating', destinationip) 
AS 'Threat Rating',
UNIQUECOUNT(sourceip) 
AS 'Source IP Count',
UNIQUECOUNT(destinationip) 
AS 'Destination IP Count' 
FROM events 
GROUP BY "Threat Category", "Threat Rating" LAST 24 HOURS

脅威のカテゴリーと脅威の等級を返します。

リファレンス・テーブルの脅威データを検索して、それを検索に含めることができます。

AQL ガイドからの照会例のコピー

AQL ガイドから照会引用符または二重引用符が含まれる照会の例をコピーして貼り付けるときは、照会が確実に解析されるように、引用符を再入力する必要があります。