検索フィルターとクエリフィールド

インシデントページには、いくつかの検索オプションが用意されています。 

検索オプションは、閲覧しているインシデントページによって異なります。DLPページのみが両方のタイプの検索機能を備えており、 次のセクションで検索機能について説明します。

事前定義されたフィルターを使えば、定義されたデータに基づいてページ上に表示される特定のインシデントを見つけることができます。ページに表示される列は、 Add Filtersをクリックしたときに利用できる事前定義されたフィルターを反映しています。 

定義済みフィルターには、隣接する2つのシンボルのうちの1つ、検索アイコンがあります。そしてトグル矢印。検索アイコンが付いたフィルターを選択すると、その値が検索フィールドに追加され、より詳細な条件を追加できるようになります。

例えば、「アプリケーション」を選択した場合は、検索フィールドに「Microsoft」など、検索したいアプリケーションの名前を入力します。名前を入力し始めると、ドロップダウンメニューが開き、オートコンプリートの候補が表示されます。検索語句を入力するか、ドロップダウンリストからオプションを選択し、Enterキーを押してください。

定義済みのフィルターに隣接して切り替え矢印が表示されている場合、選択肢が拡張されます。例えば、 「露出」の横にあるトグルをクリックすると、あらかじめ定義されたオプションを1つ以上選択したり、さらに多くのオプションを検索したりできます。完了したら、 Applyをクリックしてください。

検索結果がページに表示されます。 

DLP、マルウェア、および Malicious Sites Incidents ページでは、Skope IT ページと同様に、クエリ言語を使用して検索結果を微調整できます。 DLPページでクエリ検索を行うには、 Query Modeボタンをクリックしてください。 

クエリ言語の検索項目は、単純な用語、グループ、およびブール演算子で構成されます。単純なクエリは<field> <op> <value>形式であり、ここで：

また、例えばfield from value1 to value2 、 user from aaa to zzz 、またはtimestamp from 1607990400 to 1610158997 (エポックタイム形式) となる場合もあります。

単純な用語はブール演算子と組み合わせることができます。例えば： field1 eq value1 and field2 lte value2, not (field1 eq value1), field1 eq value1 or not (field2 lte value2) 。

用語は 括弧で囲むことでグループ化でき、優先順位を上書きできます。 例えば、 (field1 eq value1 or field2 eq value2)と(field3 eq value3) 。

使用する場合 クエリ言語を使用する際は、検索対象の日付範囲に注意してください。 日付範囲を広げると、検索結果が改善される可能性があります。日付範囲を変更するには、 ページ右上隅のドロップダウンリストを使用してください。

事前定義されたフィルター検索と同様に、検索フィールドにテキストを入力すると、サポートされているクエリがドロップダウンリストに表示され、クエリ文字列の完成に役立ちます。検索フィールドに赤い枠線が表示されている場合、検索文字列で検索結果が見つからないことを意味します。

特定の事件を見つけるのに役立つ検索クエリの例をいくつかご紹介します。