grup

Didukung di:
group(field1, field2, field3, ...)

Deskripsi

Kelompokkan kolom dengan jenis yang serupa ke dalam variabel placeholder.

Dalam penelusuran UDM, kolom yang dikelompokkan digunakan untuk menelusuri beberapa kolom dengan jenis yang serupa. Fungsi grup mirip dengan kolom yang dikelompokkan, tetapi memungkinkan Anda memilih kolom yang ingin dikelompokkan untuk memicu deteksi. Anda dapat menggunakan fungsi grup untuk mengumpulkan informasi tentang entity tertentu (misalnya, nama host, alamat IP, atau ID pengguna) di berbagai Jenis kata benda.

  • Jenis parameter: Event type

  • Jenis nilai yang ditampilkan: Grouped event fields

Contoh kode

Contoh: Menggabungkan dan menghitung alamat IP

Kelompokkan semua alamat IP dan berikan jumlah alamat IP yang paling umum dalam rentang waktu yang dipindai secara menurun.

$ip = group(principal.ip, about.ip, target.ip)
$ip != ""
match:
  $ip

outcome:
  $count = count_distinct(metadata.id)

order:
  $count desc

Contoh: Menghitung peristiwa unik untuk setiap alamat IP

Dalam contoh berikut, fungsi group() mengumpulkan semua alamat IP yang ditemukan di kolom principal.ip, target.ip, dan src.ip di semua peristiwa yang memicu deteksi. Alamat IP kemudian ditambahkan ke variabel placeholder $ip. Kemudian, aturan tersebut mencocokkan alamat IP dan menampilkan jumlah peristiwa berbeda untuk setiap alamat IP unik.

$ip = group(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.src.ip)
$ip != ""

match:
  $ip

outcome:
  $count = count_distinct(detection.id)

order:
  $count desc

// Detection1: principal.ip = 1.1.1.1
// Detection2: src.ip = 1.1.1.1, target.ip = 2.2.2.2
// Detection3: target.ip = 1.1.1.1
// Detection4: principal.ip = 2.2.2.2

Hasil:

$ip $count
1.1.1.1 3
2.2.2.2 2