Функции обработки данных в корреляторе-ng

to_string(<выражение>)

Преобразует значение в строку.

to_integer(<выражение>)

Преобразует значение в целое число (I64).

to_float(<выражение>)

Преобразует значение в число с плавающей точкой (F64).

to_uuid(<выражение>)

Преобразует значение в UUIDv4.

to_ip(<выражение>)

Преобразует значение в IP (v4 или v6).

to_ip_net(<выражение>)

Преобразует значение в подсеть IPNet.

to_bool(<выражение>)

Преобразует значение в логический тип.

to_timestamp(<выражение>, '[часовой_пояс]')

Преобразует значение во временную метку с возможностью указания часового пояса.

eq_fold(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет, совпадает ли левое значение с правым без учета регистра.

eq_any(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет, совпадает ли одно из правых значений с левым.

eq_any_fold(<левый_операнд>, <правый_операнд>, [...]) -> Bool

Сравнивает левое значение с множеством правых без учета регистра.

contains(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет вхождение правого значения в левое.

contains_fold(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет вхождение правого значения в левое без учета регистра.

contains_any(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет вхождение любого из правых значений в левое.

contains_any_fold(<левый_операнд>, <правый_операнд>, [...]) -> Bool

Проверяет вхождение любого из правых значений в левое без учета регистра.

starts_with(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет, является ли правое значение префиксом левого.

starts_with_fold(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет префикс без учета регистра.

starts_with_any(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет, является ли одно из правых значений префиксом левого.

starts_with_any_fold(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет префикс без учета регистра для одного из правых значений.

ends_with(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет, является ли правое значение суффиксом левого.

ends_with_fold(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет суффикс без учета регистра.

ends_with_any(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет, является ли одно из правых значений суффиксом левого.

ends_with_any_fold(<левый_операнд>, <правый_операнд 1>, [...]) -> Bool

Проверяет суффикс без учета регистра.

match(<левый_операнд>, <правый_операнд>) -> Bool

Проверяет, совпадает ли левое значение с регулярным выражением справа.

match_any(<левый_операнд>, '<правый_операнд 1>', '[правый_операнд 2]', [...]) -> Bool

Проверяет, совпадает ли левое значение с одним из регулярных выражений справа.

in_active_list('<идентификатор_активного_листа>', <элемент_ключа 1>, [...]) -> Bool

Проверяет наличие значения в активном листе по ключу.

in_context_table('<идентификатор_контекстной_таблицы>', '<имя_ключевого_поля 1>', <значение_ключевого_поля 1>, '[имя_ключевого_поля 2]', [значение_ключевого_поля 2], [...]) -> Bool

Проверяет наличие значения в контекстной таблице по ключу.

in_dictionary('<идентификатор_ словаря>', <элемент_ключа 1>, [элемент_ключа 2], ...) -> Bool

Проверяет наличие значения в словаре по ключу.

dict('<идентификатор_словаря>', <ключ 1>, [...]) -> String

Возвращает значение из словаря по ключу.

table_dict('<идентификатор_словаря>', <имя_столбца>, <ключ 1>, [...]) -> String

Возвращает значение из словаря-таблицы.

active_list('<идентификатор_активного_листа>', <имя_поля>, <ключ 1>, [...]) -> String

Возвращает значение из активного листа.

context_table('<идентификатор_контекстной_таблицы>', '<имя_поля>', '<ключевое_поле>', <значение>) -> T

Возвращает значение поля из контекстной таблицы.

context_table_list_item('<идентификатор_контекстной_таблицы>', '<имя_поля>', <индекс>, ...) -> T

Возвращает элемент массива из контекстной таблицы.

match_active_list(...)

Возвращает значение из активного листа, если ключ совпадает с регулярным выражением.

match_context_table(...)

Возвращает значение из контекстной таблицы при совпадении с регулярным выражением.

match_dictionary(...)

Возвращает значение из словаря при совпадении с регулярным выражением.

in_subnet(<левый_операнд>, <подсеть>) -> Bool

Проверяет принадлежность IP-адреса подсети.

in_subnet_any(<левый_операнд>, <подсеть 1>, [...]) -> Bool

Проверяет принадлежность IP-адреса одной из подсетей.

in_subnet_active_list(...)

Проверяет принадлежность IP-адреса подсети из активного листа.

in_subnet_context_table(...)

Проверяет принадлежность IP-адреса подсети из контекстной таблицы.

in_subnet_dictionary(...)

Проверяет принадлежность IP-адреса подсети из словаря.

to_lower(<операнд>) -> String

Приводит строку к нижнему регистру.

to_upper(<операнд>) -> String

Приводит строку к верхнему регистру.

substring(<строка>, <начало_подстроки>, [конец_подстроки]) -> String

Возвращает подстроку.

index_of(<что_искать>, <где_искать>) -> I64

Возвращает позицию первого вхождения.

last_index_of(<что_искать>, <где_искать>) -> I64

Возвращает позицию последнего вхождения.

tr(<операнд>) -> String

Удаляет пробельные символы в начале и конце строки.

replace(<строка>, <подстрока>, <замена>) -> String

Заменяет подстроку.

regexp_replace(<строка>, '<регулярное_выражение>', '<замена>') -> String

Выполняет замену с использованием регулярного выражения.

regexp_capture(<строка>, '<регулярное_выражение>') -> String

Извлекает подстроку по регулярному выражению.

str_join('<разделитель>', <строка 1>, [...]) -> String

Объединяет несколько строк.

append(<левый операнд>, <правый операнд>, '[разделитель]') -> T

Добавляет значение в конец массива или строки.

prepend(<левый операнд>, <правый операнд>, '[разделитель]') -> T

Добавляет значение в начало массива или строки.

len(<операнд>) -> I64

Возвращает длину строки или массива.

item(<массив>, <индекс>) -> T

Возвращает элемент массива по индексу.

distinct_items(<массив>) -> T

Удаляет дубликаты элементов массива.

sort_items(<массив>, '<порядок_сортировки>') -> T

Сортирует элементы в массиве.

now() -> Timestamp

Возвращает текущую временную метку.

year(<timestamp>) -> I64

Возвращает год.

month(<timestamp>) -> I64

Возвращает номер месяца.

month_str(<timestamp>) -> String

Возвращает месяц в строковом виде.

weekday(<timestamp>) -> I64

Возвращает номер дня недели.

weekday_str(<timestamp>) -> String

Возвращает день недели в строковом виде.

day(<timestamp>) -> I64

Возвращает день месяца.

hour(<метка_времени>) -> I64

Возвращает час.

minute(<timestamp>) -> I64

Возвращает минуту.

second(<timestamp>) -> I64

Возвращает секунду.

millisecond(<timestamp>) -> I64

Возвращает миллисекунду.

format_timestamp(<timestamp>, '<формат>') -> String

Преобразует временную метку в строку.

truncate_timestamp(<timestamp>, '<длительность>') -> Timestamp

Округляет временную метку до целого значения.

duration_days(<t1>, <t2>) -> I64

Возвращает разницу в днях.

duration_hours(<t1>, <t2>) -> I64

Возвращает разницу в часах.

duration_minutes(<t1>, <t2>) -> I64

Возвращает разницу в минутах.

duration_seconds(<t1>, <t2>) -> I64

Возвращает разницу в секундах.

duration_milliseconds(<t1>, <t2>) -> I64

Возвращает разницу в миллисекундах.

round(<операнд>) -> I64

Округляет значение до ближайшего целого.

ceil(<операнд>) -> I64

Округляет значение вверх.

floor(<операнд>) -> I64

Округляет значение вниз.

abs(<операнд>) -> T

Возвращает модуль числа.

pow(<операнд>, '<степень>') -> T

Возводит число в степень.

math_min(<массив>) -> T

Возвращает минимальный элемент массива.

math_max(<массив>) -> T

Возвращает максимальный элемент массива.

math_avg(<массив>) -> F64

Вычисляет среднее значение массива.

decode_hex_integer(<строка>) -> I64

Преобразует hex-строку в число.

decode_hex(<строка>) -> String

Декодирует hex-строку.

decode_base64(<строка>) -> String

Декодирует строку Base64.

decode_url(<строка>) -> String

Декодирует URL-кодированную строку.

entropy(<строка>) -> F64

Вычисляет энтропию Шеннона строки.

has_bit(<левый операнд>, <позиция>) -> Bool

Проверяет, установлен ли бит в указанной позиции.

has_vulnerability(<идентификатор_актива>, (<CVE>), [критичность]) -> Bool

Проверяет наличие уязвимости у актива.

include('<идентификатор_предиката>', '[имя_предиката]')

Использует заранее определенные предикаты из файла selector-includes.yaml.

ti('<категория>', <индикатор>, '<поле>')

Извлекает значение из специализированного поля TI (CyberTrace).

with_selector('тег_селектора_правила_корреляции', <выражение>)

Может использоваться только в атрибуте joinSelector правила корреляции для различения наборов событий.

template('<шаблон>', [аргумент 1], [аргумент 2], ...) -> String

Формирует строку на основе шаблона, подставляя в него значения полей события или переменных.

conditional('<предикат>', <then>, <else>)

Возвращает одно из двух значений, в зависимости от результата предиката

has_ti_detect*()

Проверяет наличие срабатывания CyberTrace по категории или индикатору.

has_ti_detect_with_category('<категория>')

Проверяет наличие срабатывания CyberTrace по категории.

has_ti_detect_with_indicator(<индикатор>)

Проверяет наличие срабатывания CyberTrace по индикатору.

has_ti_detect_with_category_and_indicator('<категория>', <индикатор>)

Проверяет наличие срабатывания CyberTrace по категории и индикатору.