Consultas

Retorna TRUE se o VALUE estiver contido na estrutura de dados que está localizada na URL especificada. Suporta um arquivo de texto sem formatação ou um arquivo de JSON com uma matriz nele. O HTTP HEADERS é uma estrutura de JSON que passa em informações de autenticação ou outros cabeçalhos, se necessário.

URL

Uma URL completa que aponta para o recurso a ser carregado na consulta. A URL deve ser acessível pelo Console QRadar e por qualquer processador de eventos e de fluxo QRadar.

A resposta da recuperação de URL é tratada como um arquivo de texto. Cada linha na resposta é carregada como um valor na consulta.

Exemplo: https://192.0.2.0/md5_blocklist.txt

VALOR

O valor para procurar na consulta. Na maioria das situações o valor é uma propriedade de um evento ou de um fluxo.

Exemplo: File_Hash

HTTP HEADERS

Uma sequência que contém pares chave-valor de JSON. Cada par chave-valor é anexado como um cabeçalho de HTTP para a solicitação que busca a consulta, para que você possa passar informações como credenciais de autenticação.

Exemplo: ‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’

Exemplo:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::CONTAINS(‘https://192.0.2.0/md5_blocklist.txt’, File_Hash, 
‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’ 

Retorna a expressão regular que corresponde se o VALUE corresponder a qualquer uma das expressões regulares que estão contidas na estrutura de dados que está localizada na URL especificada. É compatível com um arquivo de texto simples ou com a API do conjunto de referência QRadar. O HTTP HEADERS é uma estrutura de JSON que passa em informações de autenticação ou outros cabeçalhos, se necessário.

URL

Uma URL completa que aponta para o recurso a ser testado. A URL deve ser acessível pelo Console QRadar e por qualquer processador de eventos e de fluxo QRadar.

A resposta da recuperação de URL pode ser um desses formatos:

• Um arquivo de texto sem formatação. Cada linha na resposta é carregada como uma expressão regular na consulta.
• Um arquivo de JSON que contém uma entrada da lista única. Cada entrada na lista é carregada como uma expressão regular na consulta.
• Um URL que aponta para a API do conjunto de referência QRadar. Cada entrada no conjunto de referência é carregada como uma expressão regular na consulta.

Exemplo: https://example.com/api/reference_data/sets/url_blocklist

VALOR

O valor para procurar as correspondências de expressão regular na consulta. Na maioria das situações o valor é uma propriedade de um evento ou de um fluxo.

Exemplo: URL

HTTP HEADERS

Uma sequência que contém pares chave-valor de JSON. Cada par chave-valor é anexado como um cabeçalho de HTTP para a solicitação que busca a consulta que passa informações como credenciais de autenticação.

Exemplo: ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’

Exemplo:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::MATCH(‘https://example.com/api/reference_data/sets/url_blocklist’, 
URL, ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL 

Retorna o Classless Inter-Domain Routing (CIDR) correspondente se o VALUE corresponder a qualquer uma das expressões do CIDR que estão contidas na estrutura de dados que está localizada na URL especificada. É compatível com um arquivo de texto simples ou com a API do conjunto de referência QRadar. O HTTP HEADERS é uma estrutura de JSON que passa em informações de autenticação ou outros cabeçalhos, se necessário.

URL

Uma URL completa que aponta para o recurso a ser testado. A URL deve ser acessível pelo Console QRadar e por qualquer processador de eventos e de fluxo QRadar.

A resposta da recuperação de URL pode ser um desses formatos:

• Um arquivo de texto sem formatação. Cada linha na resposta é carregada como uma expressão do CIDR na consulta.
• Um arquivo de JSON que contém uma entrada da lista única. Cada entrada na lista é carregada como uma expressão do CIDR na consulta.
• Uma URL apontando para a API do conjunto de referência do QRadar. Cada entrada no conjunto de referência é carregada como uma expressão do CIDR na consulta.

Exemplo: https://example.com/api/reference_data/sets/cidr_blocklist

VALOR

O valor para procurar as correspondências de expressão do CIDR na consulta. Na maioria das situações o valor é uma propriedade de um evento ou de um fluxo que é resolvido para um endereço IP.

Exemplo: sourceIP

HTTP HEADERS

Uma sequência que contém pares chave-valor de JSON. Cada par chave-valor é anexado como um cabeçalho de HTTP para a solicitação que busca a consulta, que passa informações como credenciais de autenticação.

Exemplo: ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’

Exemplo:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::CIDRLIST(‘https://example.com/api/reference_data/sets 
/cidr_blocklist’, sourceIP, ‘{“SEC”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL 

Retorna a expressão correspondente se o VALUE corresponder a qualquer uma das expressões regulares que estão contidas na coluna referenciada por INDEX no CSV na URL especificada. Suporta um arquivo CSV que contém colunas, dos quais uma é uma expressão regular. O HTTP HEADERS é uma estrutura de JSON que permite que você passe em informações de autenticação ou outros cabeçalhos, se necessário.

URL

Uma URL completa que aponta para o recurso a ser carregado na consulta. A URL deve ser acessível pelo Console QRadar e por qualquer processador de eventos e de fluxo QRadar.

A resposta da recuperação de URL deve ser um arquivo CSV. O campo INDEX em cada linha é carregado como uma expressão regular na consulta.

Exemplo: https://192.0.2.0/blocklist.csv

ÍNDICE

O número do campo de cada linha que deve ser carregado na consulta

Exemplo: 2

VALOR

O valor para procurar na consulta. Na maioria das situações o valor é uma propriedade de um evento ou de um fluxo.

Exemplo: File_Hash

HTTP HEADERS

Uma sequência que contém pares chave-valor de JSON. Cada par chave-valor é anexado como um cabeçalho de HTTP para a solicitação que busca a consulta que passa informações como credenciais de autenticação.

Exemplo: ‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’

Exemplo:

SELECT sourceIP, destinationIP, username, File_Hash
FROM events
WHERE LOOKUPS::MATCH_CSV(‘http://192.0.2.0/blocklist.csv’, 2, userName, 
‘{“Authorization”:”abcde-abcde-abcde-abcde-abcde”}’)
IS NOT NULL