Gruppe

Unterstützt in:
group(field1, field2, field3, ...)

Beschreibung

Felder eines ähnlichen Typs in einer Platzhaltervariablen gruppieren

Bei der UDM-Suche werden gruppierte Felder verwendet, um in mehreren Feldern eines ähnlichen Typs zu suchen. Die Gruppenfunktion ähnelt gruppierten Feldern. Sie können jedoch auswählen, welche Felder gruppiert werden sollen, um eine Erkennung auszulösen. Mit der Funktion „group“ können Sie Informationen zu einer bestimmten Entität (z. B. einem Hostnamen, einer IP-Adresse oder einer Nutzer-ID) für verschiedene Nomen-Typen abrufen.

  • Parametertyp: Event type

  • Rückgabetyp: Grouped event fields

Codebeispiele

Beispiel: IP-Adressen aggregieren und zählen

Gruppieren Sie alle IP-Adressen und geben Sie eine absteigende Anzahl der häufigsten IP-Adressen im gescannten Zeitraum an.

$ip = group(principal.ip, about.ip, target.ip)
$ip != ""
match:
  $ip

outcome:
  $count = count_distinct(metadata.id)

order:
  $count desc

Beispiel: Eindeutige Ereignisse für jede IP-Adresse zählen

Im folgenden Beispiel werden mit der Funktion group() alle IP-Adressen erfasst, die in den Feldern principal.ip, target.ip und src.ip für alle Ereignisse gefunden wurden, die die Erkennung ausgelöst haben. Die IP-Adressen werden dann der Platzhaltervariablen $ip hinzugefügt. Die Regel gleicht dann die IP-Adresse ab und gibt eine Anzahl eindeutiger Ereignisse für jede eindeutige IP-Adresse zurück.

$ip = group(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.src.ip)
$ip != ""

match:
  $ip

outcome:
  $count = count_distinct(detection.id)

order:
  $count desc

// Detection1: principal.ip = 1.1.1.1
// Detection2: src.ip = 1.1.1.1, target.ip = 2.2.2.2
// Detection3: target.ip = 1.1.1.1
// Detection4: principal.ip = 2.2.2.2

Ergebnis:

$ip $count
1.1.1.1 3
2.2.2.2 2