Использование фильтра для ограничения результатов запросов

Фильтр позволяет ограничивать результаты запроса при выполнении команд управления приложением. Условия фильтра задаются с помощью одного или нескольких логических выражений, скомбинированных с помощью логического оператора and. Условия фильтра требуется заключать в кавычки.

Вы можете использовать фильтр для решения следующих задач:

Вывести информацию об определенных текущих событиях приложения

kics-control -W --query "<field> <comparison operator> '<value>'[ and <field> <comparison operator> '<value>']"

Вывести информацию об определенных событиях приложения в журнале событий

kics-control -E --query "<field> <comparison operator> '<value>'[ and <field> <comparison operator> '<value>']"

Вывести информацию об определенных объектах в резервном хранилище

kics-control -B --query "<field> <comparison operator> '<value>'[ and <field> <comparison operator> '<value>']"

Удалить определенные объекты из резервного хранилища

kics-control -B --mass-remove --query "<field> <comparison operator> '<value>'[ and <field> <comparison operator> '<value>']"

Где:

• <field> – название поля базы данных.
• <comparison operator> – одна из следующих операций сравнения:
  • > – больше.
  • < – меньше.
  • like – соответствует указанному значению. При указании значения можно использовать маски %, например: логическое выражение "FileName like '%etc%'" задает ограничение "содержит текст "etc" в поле FileName".

    Операция сравнения like работает только с полями, которые хранятся в базе данных как текст. Операция like не подходит для полей с датами, временем, числами или другими типами данных, отличными от текста.

  • == – равно.
  • != – не равно.
  • >= – больше или равно.
  • <= – меньше или равно.
• <value> – значение поля. Значение требуется указывать в одинарных кавычках (‘).

  Значение даты вы можете указывать в системе отметок времени UNIX™ (количество секунд, прошедших с 00:00:00 (UTC), 1 января 1970 года) или в формате YYYY-MM-DD hh:mm:ss. Значение даты и времени указывается пользователем и отображается приложением по локальному времени пользователя.

Пример вывода информации о событиях, которые содержат текст "etc" в поле FileName

kics-control -E --query "FileName like '%etc%'"

Пример вывода информации о событиях с типом ThreatDetected (обнаружена угроза)

kics-control -E --query "EventType == 'ThreatDetected'"

Пример вывода информации о событиях с типом ThreatDetected, сформированных задачами типа ODS

kics-control -E --query "EventType == 'ThreatDetected' and TaskType == 'ODS'"

Пример вывода информации о событиях, сформированных после даты, указанной в системе отметок времени UNIX (количество секунд, прошедших с 00:00:00 (UTC), 1 января 1970 года)

kics-control -E --query "Date > '1583425000'"

Пример вывода информации о событиях, сформированных после даты, указанной в формате YYYY-MM-DD hh:mm:ss

kics-control -E --query "Date > '2022-12-22 18:52:45'"

Пример вывода информации о файлах в резервном хранилище, имеющих высокий (High) уровень важности

kics-control -B --query "DangerLevel == 'High'"