특정 오펜스를 찾기 위해 이벤트 및 플로우 데이터 조회

QRadar Analyst Workflow 조회 빌더에서 AQL (Ariel Query Language) 검색을 작성하여 특정 이벤트 및 플로우 데이터를 검색하십시오.

1. 탐색 메뉴 () 에서 검색을 누르고 고급 빌더 탭을 선택하십시오.
2. 조회 빌더 에 다음 키워드 중 하나를 입력하여 조회를 시작하십시오.
   • IP 주소
   • URL
   • MD5/SHA-1/SHA-256 해시
3. 키워드를 입력함에 따라 표시되는 목록에 있는 사전정의된 검색 중 하나를 선택하십시오.
4. 조회 템플리트를 검토하고 편집하여 검색을 세분화한 후 조회 실행을 클릭하십시오.
   팁:

   • 구문 토큰은 토큰 클래스에 따라 색상으로 구분됩니다.
   • 구문이 올바른 AQL 문자열의 경우에는 쌍을 이루는 소괄호 사이에 커서를 두면 여기에 밑줄이 표시됩니다.

     (startTime, 'MMM dd hh:mm a')

5. 필터 를 클릭하여 검색 결과를 추가로 세분화한 후 오펜스를 선택하여 세부사항을 보십시오.
6. 기존 검색 결과를 실행하려면 마지막 검색 필드에서 조회를 선택하여 조회 빌더에 추가한 후 조회 실행을 클릭하십시오.
7. 선택사항: AQL 조회에 대해 자세히 알아보려면 훈련 및 자원 섹션을 펼치십시오.

SELECT sourceip, destinationip, username 
FROM events 
WHERE username = 'test name' 
GROUP by sourceip, destinationip 
ORDER BY sourceip DESC 
LIMIT 10 
LAST 2 DAYS