レポート：Warehouse DBのシンプルなルール

このセクションでは、シンプルなルールのクエリ構文を例を挙げて説明します。

以下の例では、デフォルト モードでのシンプルなルールについて説明します。

• All Event Categoriesレポート
• Attacks Event Categoriesレポート
• ソース：China Event Categoriesレポート
• IP Source and Destination Event Categoriesレポート
• by Time Threat Categoriesレポート
• Array Queryレポート
• Raw Log Queryレポート

All Event Categoriesレポート

このルールは、［セッション］テーブルから取得するフィールドそれぞれにエイリアス名（一時的な列名）を定義して、イベント カテゴリ、ソースの国名、宛先の国名を取得するものです。エイリアス名はそれぞれ、ソースの国名がcountry_src、宛先の国名がcountry_dstとなっています。

次の図は、All Event Categoriesルールの結果セットを示しています。

Attacks Event Categoriesレポート

このルールは、［セッション］テーブルから取得するフィールドそれぞれにエイリアス名（一時的な列名）を定義したうえで、カテゴリ名が「Attacks.%」のようになっている列のみを選択してイベント カテゴリ、ソースの国名、宛先の国名を取得するものです。  

次の図は、Attacks Event Categoriesルールの結果セットを示しています。

ソース：China Event Categoriesレポート

このルールは、［セッション］テーブルから取得するフィールドそれぞれにエイリアス名（一時的な列名）を定義したうえで、ソースの国名が「China」の列のみを選択してイベント カテゴリ、ソースの国名、宛先の国名を取得するものです。 

次の図に、ソースの結果セットを示します。China Event Categoriesルール

IP Source and Destination Event Categoriesレポート

このルールは、［セッション］テーブルから取得するフィールドそれぞれにエイリアス名（一時的な列名）を定義したうえで、宛先の国名がNULLでない列のみを選択し、ソースの国名および宛先の国名のIPアドレスを取得するものです。 

次の図は、IP Source and Destination Event Categoriesルールの結果セットを示しています。

by Time Threat Categoriesレポート

このルールは、［セッション］テーブルから取得するフィールドそれぞれにエイリアス名（一時的な列名）を定義して、脅威カテゴリに該当するイベント、そのログまたはイベントがLog DecoderまたはDecoderに取り込まれた時刻、ソースのIPアドレスを取得するものです。 

次の図は、by Time Threat Categoriesルールの結果セットを示しています。［時刻］フィールドに表示されている時間はUNIX時間です（たとえば、1388743446）。 

注：レポートでUTC時間に変換する場合には、SELECT句で構文を「UNIX時間」にします。たとえば、時刻コンバーターEpochを使用して、UNIX時間（1388743446）をUTC（協定世界時：2014/01/03 3:34:06 PM）に変換できます。 

Array Queryレポート

このルールは、［セッション］テーブルから「www.google.com」という値が含まれるエイリアス ホスト名の配列を取得するものです。 

次の図は、セッションから配列を検索した結果のセットを示しています。

Raw Log Queryレポート

rawログは、［ログ］または［セッション］テーブルのいずれかから検索できます。

このルールでは、logsからraw_logメタを使用して、packet IDがNULLでないrawログを検索します。

次の図は、ログからrawログを検索した結果のセットを示しています。

このルールでは、セッションから${raw_log}メタを使用して、ソースのIPアドレスがNULLでないrawログを検索します。

次の図は、セッションからrawログを検索した結果のセットを示しています。