gruppo

Supportato in:
group(field1, field2, field3, ...)

Descrizione

Raggruppa i campi di tipo simile in una variabile segnaposto.

Nella ricerca UDM, i campi raggruppati vengono utilizzati per eseguire ricerche in più campi di un tipo simile. La funzione group è simile ai campi raggruppati, ma ti consente di selezionare i campi che vuoi raggruppare per attivare un rilevamento. Puoi utilizzare la funzione di raggruppamento per raccogliere informazioni su una specifica entità (ad esempio un nome host, un indirizzo IP o un ID utente) in diversi tipi di sostantivo.

  • Tipo di parametro: Event type

  • Tipo restituito: Grouped event fields

Esempi di codice

Esempio: aggregare e conteggiare gli indirizzi IP

Raggruppa tutti gli indirizzi IP e fornisci un conteggio decrescente degli indirizzi IP più diffusi nell'intervallo di tempo analizzato.

$ip = group(principal.ip, about.ip, target.ip)
$ip != ""
match:
  $ip

outcome:
  $count = count_distinct(metadata.id)

order:
  $count desc

Esempio: conteggia gli eventi distinti per ogni indirizzo IP

Nell'esempio seguente, la funzione group() raccoglie tutti gli indirizzi IP trovati nei campi principal.ip, target.ip e src.ip in tutti gli eventi che hanno attivato il rilevamento. Gli indirizzi IP vengono quindi aggiunti alla variabile segnaposto $ip. La regola quindi corrisponde all'indirizzo IP e restituisce un conteggio di eventi distinti per ogni indirizzo IP univoco.

$ip = group(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.src.ip)
$ip != ""

match:
  $ip

outcome:
  $count = count_distinct(detection.id)

order:
  $count desc

// Detection1: principal.ip = 1.1.1.1
// Detection2: src.ip = 1.1.1.1, target.ip = 2.2.2.2
// Detection3: target.ip = 1.1.1.1
// Detection4: principal.ip = 2.2.2.2

Risultato:

$ip $count
1.1.1.1 3
2.2.2.2 2