Синтаксис поиска

Kaspersky CyberTrace позволяет выполнять поиск в базе индикаторов по следующим именам атрибутов:

Для поисковых запросов используется следующий синтаксис:

• Если в поисковом запросе для подстроки используются специальные символы ([пробел], +, -, =, &&, ||, >, <, !, (, ), {, }, [, ], ^, ", ~, *, ?, :, \, /), такие символы в теле запроса необходимо экранировать. Ниже приведены исключения для использования специальных символов в поисковых запросах.

  Для экранирования в Kaspersky CyberTrace используется символ обратной косой черты \.

• Использование пробела. Слово, следующее за неэкранированным символом пробела, не будет отнесено к подстроке поиска.

  Пример 1: supplier_vendor_name: Vendor\ Test – возвращаются все индикаторы, принадлежащие к источникам с именем поставщика «Vendor Test».

  Пример 2: supplier_vendor_name: Vendor Test – возвращаются все индикаторы, принадлежащие к источникам с именем поставщика «Vendor», и индикаторы, у которых в контексте есть слово «test».

• Определенные подстроки могут заключаться в кавычки, а логические блоки могут заключаться в круглые скобки. При указании начальных или конечных значений для интервалов, исключающих граничные значения, используются фигурные скобки ({}), а для интервалов, включающих граничные значения, используются квадратные скобки ([]). Фигурные и квадратные скобки можно комбинировать в пределах одного интервала, если требуется указать начальное значение одного типа и конечное значение другого типа. Кавычки и скобки всех типов в поисковом запросе должны образовывать пары.

  Не разрешается заключать подстроку поиска в кавычки, если подстрока не содержит специальных символов, перечисленных выше. В этом случае в результаты поиска будут включены только индикаторы, в которых указанная подстрока полностью совпадает с одним из значений любого поля. Поэтому если требуется найти индикаторы, в которых подстрока поиска является лишь частью значения поля, следует использовать подстановочные знаки (звездочка «*» или вопросительный знак «?» — см. ниже).

  Кавычки и скобки всех типов можно использовать без соблюдения парности в следующих случаях:

  • Если непарная скобка или кавычка используется с экранирующим символом.

    Пример: ioc_value:asd\]

  • Если непарная скобка заключена в кавычки.

    Пример: ioc_value:"1234]"

• Запрещается использовать символ табуляции.
• Двоеточие (:) можно использовать только после имени атрибута индикатора; в противном случае двоеточие необходимо экранировать.
• Не указывайте пустое значение в круглых скобках, за исключением случаев, когда это значение указывается с экранирующим символом или заключается в кавычки.

  Пример неправильного запроса: ( )

  Пример правильного запроса: (" ")

• В фигурных скобках ({}) и квадратных скобках ([]) следует использовать шаблон %begin_value% TO %end_value%, где %begin_value% и %end_value% — это значения, предназначенные для открытых и закрытых интервалов (кроме случаев, когда квадратные скобки заключены в кавычки).

  Пример неправильного запроса: [* 100]

  Пример правильного запроса: [* TO 100]

• Не указывайте пустое значение при поиске конкретного атрибута.

  Пример неправильного запроса: ioc_type:

  Пример правильного запроса: ioc_type:url

• Логические операторы (AND, OR, NOT) использовать без кавычек и целиком в верхнем регистре.
• Логические операторы AND, OR должны отбиваться пробелами слева и справа. При логическом операторе NOT не должно быть пробела слева, если оператор NOT указывается сразу после открывающей левой скобки или двоеточия.

  Пример неправильного запроса: supplier_confidence:(89OR91)

  Пример правильного запроса: supplier_confidence:NOT(89 OR 91)

• Не следует указывать пустое значение после логического оператора.

  Пример неправильного запроса: supplier_confidence:(89 OR )

  Пример правильного запроса: supplier_confidence:(89 OR 91)

• Для атрибута ioc_supplier_context при поиске определенного вложенного атрибута используется точка.

  Пример: ioc_supplier_context.files.threat:"HEUR:Exploit.SWF.Generic"

• В случае атрибута ioc_supplier_context, если строка поиска содержит пробел, перед пробелом следует использовать экранирующий символ «\» (обратная косая черта).

  Пример: ioc_supplier_context.details.SMS\ Number:1003

• В случае атрибута ioc_supplier_context для поиска всех вложенных атрибутов следует использовать шаблон ioc_supplier_context.\\*.

  Пример: ioc_supplier_context.\\*:HEUR

• В качестве подстановочных знаков в заменителях для любой другой последовательности символов следует использовать звездочку (*), а для одиночного символа — вопросительный знак (?).

  Пример 1: supplier_vendor_name: Vendor – поиск индикаторов, принадлежащих к источникам с именем поставщика «Vendor».

  Пример 2: supplier_vendor_name: Vendor* – поиск индикаторов, принадлежащих к источникам с именем поставщика, которое начинается с «Vendor».

  Использование звездочки (*) в начале запроса может привести к проверке всех значений атрибутов в базе данных индикатора. Обычно это приводит к долгому ожиданию ответа от базы данных.

Примеры

Следующий запрос отображает все индикаторы, содержащие подстроку at, ca, kr, ru, ir в любом из атрибутов индикатора:

Следующий запрос отображает все индикаторы, у которых значение атрибута supplier_confidence равно 89 или 91:

Следующий запрос отображает все индикаторы, у которых значение атрибута ioc_value содержит подстроку 123321:

Следующий запрос отображает все индикаторы, которые были добавлены в базу данных в период с 2012-01-01 по 2012-12-31 (включая границы):

Следующий запрос отображает все индикаторы с уровнем доверия от 10 до 50 (без учета границ):

Следующий запрос отображает все индикаторы, у которых значение поля контекста threat_score больше 75:

Следующий запрос отображает все индикаторы, у которых атрибут контекста файлов/угроз содержит подстроку HEUR:Exploit.SWF.Generic:

Следующий запрос отображает все индикаторы, у которых есть атрибуты контекста с любым уровнем вложенности, содержащие значение HEUR: