קבוצה

נתמך ב:

חיפוש

group(field1, field2, field3, ...)

תיאור

לקבץ שדות מאותו סוג למשתנה placeholder.

בחיפוש ב-UDM, נעשה שימוש בשדות מקובצים כדי לחפש בכמה שדות מאותו סוג. הפונקציה group דומה לשדות מקובצים, אבל היא מאפשרת לבחור אילו שדות לקבץ יחד כדי להפעיל זיהוי. אפשר להשתמש בפונקציית הקיבוץ כדי לאסוף מידע על ישות ספציפית (לדוגמה, שם מארח, כתובת IP או מזהה משתמש) בסוגים שונים של שמות עצם.

הערה: כשמבצעים חיפוש, אפשר להשתמש בשדות מקובצים בקטע events, אבל לא בקטעים match ו-outcome. לפרטים נוספים, אפשר לעיין במאמרים בנושא events תחביר של קטע, match תחביר של קטע וoutcome תחביר של קטע.

• סוג הפרמטר: Event type

• סוג הערך שמוחזר: Grouped event fields

דוגמאות קוד

דוגמה: צבירה וספירה של כתובות IP

צריך לקבץ את כל כתובות ה-IP ולספק ספירה בסדר יורד של כתובות ה-IP הנפוצות ביותר בטווח הזמן שנסרק.

$ip = group(principal.ip, about.ip, target.ip)
$ip != ""
match:
  $ip

outcome:
  $count = count_distinct(metadata.id)

order:
  $count desc

דוגמה: ספירת אירועים נפרדים לכל כתובת IP

בדוגמה הבאה, הפונקציה group() אוספת את כל כתובות ה-IP שנמצאות בשדות principal.ip, target.ip ו-src.ip בכל האירועים שהפעילו את הזיהוי. כתובות ה-IP יתווספו למשתנה placeholder‏ $ip. לאחר מכן, הכלל מתאים לכתובת ה-IP ומחזיר ספירה של אירועים נפרדים לכל כתובת IP ייחודית.

$ip = group(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.src.ip)
$ip != ""

match:
  $ip

outcome:
  $count = count_distinct(detection.id)

order:
  $count desc

// Detection1: principal.ip = 1.1.1.1
// Detection2: src.ip = 1.1.1.1, target.ip = 2.2.2.2
// Detection3: target.ip = 1.1.1.1
// Detection4: principal.ip = 2.2.2.2

תוצאה:

$ip	$count
1.1.1.1	3
2.2.2.2	2