고급 검색 기준을 사용하여 IBM X-Force Exchange 에서 데이터 검색

복합 조회의 경우 고급 검색 표현식을 사용하여 X-Force Exchange 에서 데이터를 검색하고 필터링할 수 있습니다.

이 태스크에 대한 정보

고급 검색은 QRadar의 로그 보기 또는 네트워크 보기 탭에서 데이터를 리턴합니다.

URL 검색의 경우 이벤트 데이터가 URL 정보를 제공하므로 네트워크 보기 탭에서 URL 검색이 리턴될 수 없습니다.

IBM X-Force Exchange에서 데이터를 검색할 때 사용 가능한 매개변수 및 함수 목록은 https://exchange.xforce.ibmcloud.com/faq#ipr_categories_list 의 내용을 참조하십시오.

프로시저

  1. 로그 보기 탭을 클릭하십시오.
  2. 검색 도구 모음에서 고급 검색을 선택하십시오.
  3. AQL 조회 표현식을 입력하십시오.

    다음 표는 일부 공통 검색 표현식에 대해 설명합니다.

    표 1. X-Force 고급 검색 표현식
    설명 예
    잘못된 카테고리에 해당하는 흐름에서 HTTP 호스트를 검색합니다. 
    select * from flows where 
XFORCE_URL_CATEGORY("HTTP Host") in ('Anonymization Services','Malware', 
'Botnet Command and Control Server', 'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    잘못된 카테고리와 일치하는 이벤트에서 찾은 URL을 검색합니다. 
    select * from events where 
XFORCE_URL_CATEGORY("UrlHost") in ('Anonymization Services','Malware', 'Botnet Command and Control Server', 
'Spam URLs', 'Cryptocurrency Mining', 'Bots', 'Phishing URLs')
    신뢰도 요인이 75를 초과하는 잘못된 카테고리와 일치하는 IP 주소를 검색합니다. 
    select * from events where 
XFORCE_IP_CONFIDENCE('Anonymization Services',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Malware',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',destinationaddress) > 75 OR XFORCE_IP_CONFIDENCE('Spam',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',destinationaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Anonymization Services',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Malware',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Botnet Command and Control Server',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Spam',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Cryptocurrency Mining',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Scanning IPs',sourceaddress) > 75 OR 
XFORCE_IP_CONFIDENCE('Bots',sourceaddress) > 75
    URL과 연관하여 검색합니다. 
    select url, 
XFORCE_URL_CATEGORY(url) 
as myCategories from events where 
XFORCE_URL_CATEGORY(url) IS NOT NULL
    소스 IP 주소와 연관하여 검색합니다. 
    select sourceip, 
XFORCE_IP_CATEGORY(sourceip) 
as IPcategories from events where 
XFORCE_IP_CATEGORY(destinationip) in ('Malware', 'Botnet Command and Control Server', 
'Spam', 'Cryptocurrency Mining', 'Scanning IPs', 'Bots', 'Phishing')
  4. 검색을 클릭하십시오.