사용자 및 네트워크 모니터링 조회 예제

24시간 동안 3개 이상의 IP 주소에서 VPN을 사용하여 네트워크에 액세스한 사용자 찾기

SELECT username, 
UNIQUECOUNT(sourceip) 
AS 'Source IP count' 
FROM events 
WHERE LOGSOURCENAME(logsourceid) 
ILIKE '%VPN%' 
AND username IS NOT NULL 
GROUP BY username 
HAVING "Source IP count" >= 3
ORDER BY "Source IP count" 
DESC 
LAST 24 HOURS

이 조회는 username 및 Source IP count 컬럼을 출력합니다.

username 컬럼은 최근 24시간 동안 세 개 이상의 IP 주소에서 VPN을 사용하여 네트워크에 액세스한 사용자의 이름을 리턴합니다.

24시간 내에 둘 이상의 지리적 위치에서 VPN을 사용한 사용자 찾기

SELECT username, UNIQUECOUNT(geographiclocation) 
AS 'Count of locations' 
FROM events 
WHERE LOGSOURCENAME(logsourceid) 
ILIKE '%VPN%' 
AND geographiclocation <> 'other location' 
AND username 
IS NOT NULL 
GROUP BY username 
HAVING "Count of locations" > 1 
ORDER BY "Count of locations" 
DESC 
LAST 3 DAYS

이 조회는 username 및 Count of locations 컬럼을 출력합니다.

username 컬럼은 최근 24시간 동안 'other location'이 아닌 둘 이상의 위치에서 VPN을 사용한 사용자의 이름을 리턴합니다.

네트워크를 통한 로컬 대 원격 플로우 트래픽 모니터링

SELECT sourceip, 
LONG(SUM(sourcebytes+destinationbytes)) 
AS TotalBytes 
FROM flows 
WHERE flowdirection= 'L2R' 
AND NETWORKNAME(sourceip) 
ILIKE 'servers' 
GROUP BY sourceip
ORDER BY TotalBytes

이 조회는 sourceip 및 TotalBytes 컬럼을 출력합니다.

TotalBytes 컬럼은 로컬에서 원격으로 교차하는 소스 및 대상 바이트의 합계를 리턴합니다.

네트워크를 통한 원격 대 로컬 플로우 트래픽 모니터링

SELECT sourceip, 
LONG(SUM(sourcebytes+destinationbytes)) 
AS TotalBytes 
FROM flows 
WHERE flowdirection= 'R2L' 
AND NETWORKNAME(sourceip) 
ILIKE 'servers' 
GROUP BY sourceip
ORDER BY TotalBytes

이 조회는 sourceip 및 TotalBytes 컬럼을 출력합니다.

TotalBytes 컬럼은 소스 및 대상 바이트의 합계를 원격에서 로컬로 리턴합니다.

애플리케이션 이름, 사용자 및 플로우 트래픽별 애플리케이션 사용

SELECT sourceip 
AS Source_IP, 
FIRST(destinationip) 
AS Destination_IP, 
APPLICATIONNAME(applicationid) 
AS Application, 
DATEFORMAT(lastpackettime, 'dd-MM-yyyy hh:m:ss') 
AS 'Start Time', 
FIRST(sourcebytes) 
AS Source_Bytes, 
ASSETUSER(sourceip, NOW()) AS Src_Asset_User 
FROM flows 
GROUP BY Source_IP 
ORDER BY Source_Bytes DESC

이 조회는 플로우 데이터, 애플리케이션 이름 및 자산 사용자에 대한 데이터를 출력합니다. 이 조회를 사용하여 특정 사용자 활동 또는 애플리케이션 사용을 보고하거나 원하는 결과를 얻기 위해 이 조회의 변형을 빌드할 수 있습니다.

자산의 위치

SELECT ASSETPROPERTY('Location',sourceip) 
AS asset_location, 
COUNT(*) 
FROM events 
GROUP BY asset_location 
LAST 1 days

이 조회는 asset_location 및 count 컬럼을 출력합니다.

asset_location 컬럼은 자산의 위치를 리턴합니다.

AQL 안내서에서 조회 예제 복사

AQL 안내서에서 작은따옴표나 큰따옴표가 포함된 조회 예제를 복사하여 붙여넣는 경우 조회가 구문 분석되도록 하려면 따옴표를 다시 입력해야 합니다.