Security Center:Consultas e análises personalizadas de logs

<search syntax> | <analytics syntax>

Consulta de texto completo

Pesquise em todos os campos de log sem especificar um nome de campo. Separe várias palavras-chave com um espaço ou and. Coloque frases que contenham espaços entre aspas duplas (").

A correspondência com curinga aceita apenas asteriscos no final ( failed_* ). O uso de asterisco no início ( *failed ) não é suportado.

Para obter a referência completa da sintaxe de busca, consulte Visão geral da busca de logs.

Busca específica por campo

Filtre por um campo específico usando Field: Value ou comparações numéricas como Field >= Value. Combine múltiplas condições de campo com and ou or, ou misture-as com termos de texto completo.

Cada entrada de log inclui um campo __topic__ que identifica o tipo de log. Use __topic__ para direcionar a consulta a uma origem de log específica e adicione filtros de campo para esse tipo de log.

Exemplos

Localize logs de alerta com nível de severidade grave:

__topic__ : sas-security-log and level: serious

Encontre eventos de logon SSH provenientes de um endereço IP específico:

__topic__:aegis-log-login and ip:1.2.XX.XX and warn_type:SSHLOGIN

Identifique consultas DNS internas com tempo de resposta superior a 1 segundo:

__topic__:local-dns and time_usecond > 1000000

Busque consultas DNS internas com tempo de resposta entre 1 e 10 segundos:

__topic__:local-dns and time_usecond in [1000000,10000000]

Recuperar os eventos de logon mais recentes de um IP específico

Retorne os 10 eventos de logon mais recentes do IP 1.2.XX.XX, com um carimbo de data/hora legível:

__topic__: aegis-log-login and ip: 1.2.XX.XX
| select date_format(__time__, '%Y-%m-%d %H:%i:%s') as time, warn_ip, warn_type
order by __time__ desc
limit 10

Calcular quantos dias se passaram desde cada logon

Adicione uma coluna days_passed que mostre a idade de cada evento de logon em dias:

__topic__: aegis-log-login and ip: 1.2.XX.XX
| select date_format(__time__, '%Y-%m-%d %H:%i:%s') as time, warn_ip, warn_type ,
round((to_unixtime(now()) - __time__)/86400,1) as "days_passed"
order by __time__ desc
limit 10

A expressão round((to_unixtime(now()) - __time__)/86400, 1) funciona da seguinte maneira:

1. to_unixtime(now()) converte a hora atual para um timestamp UNIX.

2. Subtraia __time__ para obter os segundos decorridos.

3. Divida por 86400 (quantidade de segundos em um dia).

4. round(..., 1) arredonda o resultado para uma casa decimal.

Contar eventos diários de logon para um dispositivo

Agrupe os eventos de logon por dia e conte quantos ocorreram em cada dia:

__topic__: aegis-log-login and ip: 1.2.XX.XX
| select date_trunc('day', __time__) as dt,
count(1) as PV
group by dt
order by dt

A função date_trunc('day', __time__) alinha cada timestamp ao início do respectivo dia. Substitua 'day' por 'second', 'minute', 'hour', 'week', 'month' ou 'year' para agrupar por uma unidade de tempo diferente.

Contar eventos de logon a cada 5 minutos

Agrupe eventos em intervalos de 5 minutos em todos os dispositivos:

__topic__: aegis-log-login
| select from_unixtime(__time__ - __time__% 300) as dt,
count(1) as PV
group by dt
order by dt
limit 1000

A operação __time__ - __time__ % 300 arredonda cada timestamp para baixo até o limite de 5 minutos mais próximo (300 segundos). Já limit 1000 recupera os primeiros 1.000 intervalos, cobrindo aproximadamente 83 horas de dados.

Para conhecer outras funções de tempo, como date_parse e date_format, consulte Funções de data e hora.

Identificar países de origem dos logons em um servidor específico

__topic__: aegis-log-login and uuid: 12344567
| SELECT ip_to_country(warn_ip) as country,
count(1) as "Number of logons"
group by country

A função ip_to_country(warn_ip) retorna o país correspondente ao endereço IP de origem.

Detalhar logons por província ou estado

__topic__: aegis-log-login and uuid: 12344567
| SELECT ip_to_province(warn_ip) as province,
         count(1) as "Number of logons"
         group by province

A função ip_to_province(warn_ip) retorna a província para endereços IP chineses. Para IPs fora da China, ela tenta retornar a província ou estado equivalente, mas o resultado não pode ser plotado em um mapa da China.

Mapear a distribuição geográfica dos logons

__topic__: aegis-log-login and uuid: 12344567
| SELECT ip_to_geo(warn_ip) as geo,
         count(1) as "Number of logons"
         group by geo
         limit 10000

A função ip_to_geo(warn_ip) retorna a latitude e a longitude do endereço IP de origem. O parâmetro limit 10000 recupera até 10.000 entradas para plotagem geográfica.

Para obter funções adicionais de IP — incluindo ip_to_provider (consulta de ISP) e ip_to_domain (detecção de IP público versus privado) — consulte Funções de IP.