Поиск индикаторов в таблице индикаторов

На странице Индикаторы можно выполнять поиск индикаторов в базе данных. Для работы с этой страницей необходимо перейти в режим Управление данными.

Чтобы выполнить поиск индикаторов, выполните следующие действия:

1. В поле поиска укажите строку, которую требуется найти. Синтаксис поискового запроса описан далее в этом разделе.

   Длина поискового запроса – от 1 до 1024 символов Unicode.

2. Нажмите на кнопку Найти, чтобы начать поиск.

На странице Индикаторы отобразится список индикаторов, совпавших с указанной строкой. Поисковый запрос можно сохранить, чтобы использовать его в будущем.

Синтаксис поисковых запросов

Строка поискового запроса для поиска по базе индикаторов должна следовать определенному синтаксису. Рассмотрим пример строки поискового запроса:

ioc_value: 192.0.2* OR (ioc_type: md5 AND ioc_updated_date:>=2020-01-01)

В строке поискового запроса можно использовать атрибуты со следующими именами:

Для поисковых запросов используется следующий синтаксис:

• Если в поисковом запросе для подстроки используются специальные символы ([пробел], +, -, =, &&, ||, >, <, !, (, ), {, }, [, ], ^, ", ~, *, ?, :, \, /), такие символы в теле запроса необходимо экранировать. Ниже приведены исключения для использования специальных символов в поисковых запросах.

  Для экранирования в Kaspersky CyberTrace используется символ обратной косой черты \.

• Использование пробела. Слово, следующее за неэкранированным символом пробела, не будет отнесено к подстроке поиска.

  Пример 1: supplier_vendor_name: Vendor\ Test – возвращаются все индикаторы, принадлежащие к источникам с именем поставщика «Vendor Test».

  Пример 2: supplier_vendor_name: Vendor Test – возвращаются все индикаторы, принадлежащие к источникам с именем поставщика «Vendor», и индикаторы, у которых в контексте есть слово «test».

• Определенные подстроки могут заключаться в кавычки, а логические блоки могут заключаться в круглые скобки. Для начальных или конечных значений используются фигурные скобки ({}) для задания интервалов, исключающих граничные значения, и квадратные скобки ([]) для задания интервалов, включающих граничные значения. Фигурные и квадратные скобки можно комбинировать, т.е. задавать интервалы с открывающей скобкой одного вида и закрывающей скобкой другого вида. Кавычки и скобки всех типов в поисковом запросе должны образовывать пары.

  Не разрешается заключать подстроку поиска в кавычки, если подстрока не содержит специальных символов, перечисленных выше. В этом случае в результаты поиска будут включены только индикаторы, в которых указанная подстрока полностью совпадает с одним из значений любого поля. Поэтому если требуется найти индикаторы, в которых подстрока поиска является лишь частью значения поля, следует использовать подстановочные знаки (звездочка «*» или вопросительный знак «?» — см. ниже).

  Использовать непарные кавычки и все виды непарных скобок можно в следующих случаях:

  • Если непарная скобка или кавычка используется с экранирующим символом.

    Пример: ioc_value:asd\]

  • Если непарная скобка заключена в кавычки.

    Пример: ioc_value:"1234]"

• Запрещается использовать символ табуляции.
• Двоеточие (:) следует указывать только после имени атрибута индикатора, в противном случае его необходимо экранировать.
• Не указывайте пустое значение в круглых скобках, за исключением случаев, когда это значение указывается с экранирующим символом или заключается в кавычки.

  Пример неправильного запроса: ( )

  Пример правильного запроса: (" ")

• В фигурных скобках ({}) и квадратных скобках ([]) следует использовать шаблон %begin_value% TO %end_value%, где %begin_value% и %end_value% — это значения, предназначенные для открытых и закрытых интервалов (кроме случаев, когда квадратные скобки заключены в кавычки).

  Пример неправильного запроса: [* 100]

  Пример правильного запроса: [* TO 100]

• Не указывайте пустое значение при поиске конкретного атрибута.

  Пример неправильного запроса: ioc_type:

  Пример правильного запроса: ioc_type:url

• Используйте логические операторы (AND, OR, NOT) без кавычек и только в верхнем регистре.
• Логические AND, OR должны быть окружены пробелами. Не допускается пробел слева от логического NOT, если NOT непосредственно следует за левой скобкой или двоеточием.

  Пример неправильного запроса: supplier_confidence:(89OR91)

  Пример правильного запроса: supplier_confidence:NOT(89 OR 91)

• Не допускается указание пустого значения после логического оператора.

  Пример неправильного запроса: supplier_confidence:(89 OR )

  Пример правильного запроса: supplier_confidence:(89 OR 91)

• Для атрибута ioc_supplier_context следует использовать точку при поиске определенного вложенного атрибута.

  Пример: ioc_supplier_context.files.threat:"HEUR:Exploit.SWF.Generic"

• Для атрибута ioc_supplier_context, если строка поиска содержит пробелы, следует экранировать пробелы символом "\" (обратная косая черта).

  Пример: ioc_supplier_context.details.SMS\ Number:1003

• Для атрибута ioc_supplier_context при поиске всех вложенных атрибутов следует использовать запись вида ioc_supplier_context.\\*.

  Пример: ioc_supplier_context.\\*:HEUR

• В качестве подстановочных знаков в заменителях для любой другой последовательности символов следует использовать звездочку (*), а для одиночного символа — вопросительный знак (?).

  Пример 1: supplier_vendor_name: Vendor – поиск индикаторов, принадлежащих к источникам с именем поставщика «Vendor».

  Пример 2: supplier_vendor_name: Vendor* – поиск индикаторов, принадлежащих к источникам с именем поставщика, которое начинается с «Vendor».

  Использование звездочки (*) в начале запроса может привести к проверке всех значений атрибутов в базе данных индикатора. Обычно это вызывает долгое ожидание ответа от базы данных.

Примеры

Следующий запрос отображает все индикаторы, содержащие подстроку at, ca, kr, ru, ir в любом из атрибутов индикатора:

Следующий запрос отображает все индикаторы, у которых значение атрибута supplier_confidence равно 89 или 91:

Следующий запрос отображает все индикаторы, у которых значение атрибута ioc_value содержит подстроку 123321:

Следующий запрос отображает все индикаторы, которые были добавлены в базу данных в период с 2012-01-01 по 2012-12-31 (включительно):

Следующий запрос отображает все индикаторы с уровнем доверия от 10 до 50 (не включительно):

Следующий запрос отображает все индикаторы, у которых значение поля контекста threat_score больше 75:

Следующий запрос отображает все индикаторы, у которых есть атрибут files.threat, содержащий подстроку HEUR:Exploit.SWF.Generic:

Следующий запрос отображает все индикаторы, у которых есть атрибуты контекста со значением HEUR на любом уровне вложенности: