Platform Turn machine data into intelligence ①独自のデータプラットフォームと、AI Agentを活用した先進的なセキュリティ・Observabilityソリューション ②多くの熱狂的なファンに支えられた強力なエンジニアのコミュニティ ③11年連続でGartner社のMagic Quadrant for SIEMでリーダーの一社として評価された実績と信頼性
= main sourcetype=access_combined_wcookie ERROR | top hostip main indexに格納されているsoucetypeがaccess_combined_wcookieでERRORの文字が含まれるイベ ントを抽出し、そのイベントで頻出度の高いhostipを表示させる。 rawデータが 統計情報に 抽出データを topコマンドで処理
攻撃元IPでフィルター src=40.80.148.42 statsコマンドで uriごとの応答回数を算出 | stats count by uri sortコマンドで 応答回数上位10件に並べ替え | sort xxxx 問題の解き方 問題 1の サーチ文で 抽出したデータ uri a : xxx回 uri b : xxx回 uri c : xxx回
、 一番古いデータを表示 | search userpassword=* | reverse 問題の解き方 : 応用編 調査サポート問題3で 抽出したデータ (statsコマンドは削除) passwd A passwd B passwd C passwd A passwd B passwd C headコマンドを利用して、 一番最初のパスワードを表示 | head 1 | table userpassword rexコマンドを利用して、 form_dataからパスワードを抽出 | rex field=form_data “passwd=(?<userpassword>¥w+)”
userpsswordとsrcごとの件数を表示 | stats count values(src_ip) as source_address by XXXXX 問題の解き方 index=botsv1 sourcetype=stream:http form_data=*user*pass* で抽出したデータ passwd A passwd B passwd C rexコマンドを利用して、 form_dataからパスワードを抽出 | rex field=form_data “passwd=(?<userpassword>¥w+)”
field名1 = <式1> [“,” <field名2>=<式2>…] • 考慮点 • fieldは式の結果を格納する宛先field名。field名がイベントに既に存在する場合は値を上書きする。 • 式はfieldに格納する値を決定するために実行される値、変数、演算子、および関数の組み合わせ。 • evalで作成された新たな値は、既存のIndexされているデータを上書きや、新たにIndexに書き込まない。 • eval式では大文字と小文字が区別される。 • 式にfieldに格納されている値を利用する場合は、field名をシングルクォーテーションで囲む必要がある。 • 式にリテラル文字列を参照する場合は、その文字列をダブルクォーテーションで囲む必要がある。 • eval 式の結果をブール値にすることはできません。 evalコマンドは既存のフィールドと任意の式を使用して、イベントに新しいフィールドを作成する事が可能 A B C A B C D evalコマンド実行前の結 果 evalコマンド実行後の結 果 … | eval D = …
sugarenia
chriscoyier
cromwellryan
tenderlove
lemiorhan
eileencodes
holman
geoffreycrofte
pauljervisheath
maltzj
kevinliebholz
