过滤器语法

比较运算符

过滤器比较运算符表描述了可用作过滤器参数一部分的比较运算符。

空值和比较运算符

当过滤的字段具有 "null" 值时，比较运算符的行为方式如下所示:

测试空值的最佳方法是使用 "is null" 或 "is not null" 运算符。

逻辑运算符

使用逻辑运算符 OR， AND和 NOT 对子表达式执行逻辑操作。 下表提供了如何在过滤器中使用逻辑运算符的示例。

指定用于比较的 JSON 字段

下表说明如何指定 JSON 字段以用于过滤器中的比较运算符。

{
"name": "Proprietary Data",
"element_type": "ALN"
}

{
 "description": "String",
 "duration": {
  "days": 42,
  "hours": 42,
  "minutes": 42,
  "months": 42,
  "seconds": 42.5,
  "years": 42
  }
}

["events","flows","simarc"]

在过滤器中指定字符串和数字值

对具有非字母数字字符的值的字符串进行过滤时，必须将目标字符串括在引号中。 对数字值进行过滤时，数字值可以遵循以下条件:

• 以前导 + 或-sign 开头。
• 包含或以小数点开头。
• 使用 e 表示法包含指数。

使用 CONTAINS 运算符过滤复杂对象

您可以使用 CONTAINS 运算符来过滤复杂对象。 使用 CONTAINS 运算符来测试列表或映射的内容。 在运算符左侧，是标准格式的标识，例如 x (y (z))。 标识必须引用作为列表，映射或集合的元素。 运算符右侧是一个表达式，用于指定必须如何匹配列表中的对象。 有两个使用 CONTAINS 运算符的基本用例:

• 检查的列表包含字符串或数字之类的简单元素。
• 该列表包含复杂对象。

包含简单类型的列表

对于包含简单类型 (例如字符串或数字) 的列表，表达式是同一类型的值。 对于单一比较，不需要方括号。

要仅请求将 ftp 作为过滤器的值字段中的字符串的资产保存的搜索，请执行以下操作:

GET /api/asset_model/saved_searches?filter=filters%20contains%20value%20%3D%20ftp

要请求接口包含 IP 地址 "192.0.2.0" 的资产:

GET /api/asset_model/assets?filter=interfaces%20contains%20ip_addresses%20contains%20value%20%3D%20%192.0.2.0%22

包含复杂对象的列表

对于包含复杂对象的列表，表达式是列表中对象的完整过滤表达式。 此子过滤器表达式使用与任何其他过滤器相同的语法。 您可以使用子过滤器中的任何运算符来测试原始列表中的子列表。 此表达式中的标识与 CONTAINS 运算符正在对其进行操作的列表中的对象相关。 在复杂子过滤器表达式中，需要方括号。

要仅请求具有字段 value = 14 和 Greater than 运算符的资产，请应用过滤器 filters contains (value = 14 or operator = "Greater than")。 此过滤器返回列表中的第一个和最后一个元素。

GET /api/asset_model/saved_searches?filter=filters%20contains%20(value%20%3D%2014%20and%20operator%20%3D%20%22Greater%20than%22)

要查找包含标识值小于 3 的源地址的攻击，请应用以下过滤器:

GET /api/siem/offenses?filter=source_address_ids%20contains%20(.%3C3)

LIKE 运算符

使用 LIKE 运算符来检索部分字符串匹配项。

LIKE 运算符使用以下格式: identifier like "expression"。 表达式周围的引号是必需的。 支持单引号和双引号。 LIKE 关键字执行区分大小写的匹配。

支持以下通配符。 如果在字符串中使用通配符，那么必须对其进行转义。

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]

您可以在同一表达式中组合通配符。 例如，要在 domain1 或 domain2中查找服务器，请使用表达式: hostname LIKE "%.domain_"。

GET /path/to/api?filter=hostname%20LIKE%20%22%25.domain_%22 
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 }
]

请注意，未返回 SERVER.domain ，因为下划线 (_) 没有匹配的尾部字符。

ILIKE 运算符

使用 ILIKE 运算符来检索不区分大小写的部分字符串匹配。

GET /path/to/api
[
 {
 "hostname": "server.domain1"
 },
 {
 "hostname": "server.domain2"
 },
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
] 

GET /path/to/api?filter=hostname%20ILIKE%20%22server.domain%22'
[
 {
 "hostname": "SERVER.domain"
 },
 {
 "hostname": "server.DOMAIN"
 }
]