QRadar Network Packet Capture NTQL (Query Language)

QRadar® Network Packet Capture Query Language (NTQL) 를 사용하여 캡처된 패킷에서 데이터를 검색하십시오.

예를 들어, 다음 유형의 정보를 위해 NTQL을 사용할 수 있습니다.

주: NTQL은 대소문자를 구분합니다.

모두 일치

비어 있는 NTQL 문자열은 모든 패킷과 일치하며, 일치 수가 제한된 경우에 유용합니다.

특정 호스트에 전송된 패킷을 검색하려면 다음 문자열을 입력하십시오.

src host <IP address>

호스트에서 전송된 패킷을 검색하려면 다음 문자열을 입력하십시오.

dst host <IP address>

TCP 또는 UDP 포트로 또는 해당 포트로부터 전송된 패킷을 검색하려면 다음 문자열을 입력하십시오.

port <number>

포트 번호가 없는 프로토콜을 사용하여 전송된 패킷은 이 검색에서 제외됩니다.

특정 포트에서 전송된 패킷으로 검색 결과를 축소하려면 다음 문자열을 입력하십시오.

src port <number>

특정 포트로 전송된 패킷을 검색하려면 다음 문자열을 입력하십시오.

dst port <number>

특정 계층 3 프로토콜을 사용하는 패킷을 검색하려면 다음 문자열을 입력하십시오.

l3proto <protocol>

여기서 <protocol>은 프로토콜 번호 또는 이름입니다. 다음은 지원되는 프로토콜 이름입니다.

ip가 프로토콜로 제공되면 IPv4가 사용됩니다.

특정 계층 4 프로토콜을 사용하는 패킷을 검색하려면 다음 문자열을 입력하십시오.

l4proto <protocol>

여기서 <protocol>은 프로토콜 번호 또는 이름입니다. 다음은 지원되는 프로토콜 이름입니다.

이러한 검색어를 and 및 or 키워드를 사용하여 더 복잡한 표현식으로 조합할 수 있습니다. 예를 들어, 1.1.1.1 또는 2.2.2.2로 들어가거나 나오는 패킷을 검색하려면 다음 문자열을 입력하십시오.

host 1.1.1.1 or host 2.2.2.2

1.1.1.1 또는 2.2.2.2로 들어오고 나오는 패킷을 검색하려면, 다음 문자열을 입력하십시오.

host 1.1.1.1 and host 2.2.2.2

이러한 키워드는 왼쪽 연관 법칙입니다. 예를 들어, 다음 구문을 고려해 보십시오.

port 42 and host 1.1.1.1 or host 2.2.2.2

이 표현식은 다음과 같이 평가됩니다.

다음 예에서와 같이 괄호를 사용하여 왼쪽 연관 법칙을 변경할 수 있습니다.

port 42 and (host 1.1.1.1 or host 2.2.2.2)

1.1.1.1 또는 2.2.2.2를 대상으로 전송되거나 수신되는 포트 42를 대상으로 전송되거나 수신되는 패킷을 찾기 위해 표현식을 평가합니다.