matchioc()

matchioc() 関数は、指定した侵害指標（IOC）の種別の脅威インテリジェンスフィードに特定の値が含まれているかどうかを確認します。

構文

パラメータ

STR_FEED_TYPE

検索する侵害指標（IOC）フィードの種別です。文字列リテラルで指定し、大文字・小文字を区別しません。無効な種別を指定するとクエリのパース段階でエラーが発生します。

STR_FEED_TYPE	説明
URL	URL 侵害指標フィード
DOMAIN	ドメイン侵害指標フィード
EMAIL	メール侵害指標フィード
IP	IP アドレス侵害指標フィード
REGISTRY	レジストリ侵害指標フィード
MD5	MD5 ハッシュ侵害指標フィード
SHA1	SHA1 ハッシュ侵害指標フィード
SHA256	SHA256 ハッシュ侵害指標フィード

STR_EXPR

フィードで検索する値を含むフィールドまたは式です。文字列、IP アドレス型をサポートします。

説明

matchioc() 関数は、指定した侵害指標（IOC）の種別の脅威インテリジェンスフィードに STR_EXPR の値が存在する場合は true、存在しない場合は false を返します。

STR_EXPR の値が null の場合は false を返します。STR_EXPR の値が IP アドレス型の場合は文字列に変換してからフィードで検索します。

matchioc() 関数は matchfeed() 関数とは異なり、フィード名ではなく侵害指標の種別でフィードを選択します。種別に対応するフィードマッチャーが見つからない場合は、クエリのパース段階でエラーが発生します。

エラーコード

該当なし

使用例

1. src_ip フィールドの値が IP 侵害指標フィードに存在するかどうかを確認します。

   json "{'src_ip': '192.0.2.1'}"
   | eval result = matchioc("IP", src_ip)
   | # result: false
   

2. MD5 ハッシュ値がマルウェア侵害指標フィードに存在するかどうかを確認します。

   json "{'file_md5': 'd41d8cd98f00b204e9800998ecf8427e'}"
   | eval result = matchioc("MD5", file_md5)
   | # result: false
   

3. ドメインが侵害指標フィードに存在するかどうかを確認します。

   json "{'dst_domain': 'example.com'}"
   | eval result = matchioc("DOMAIN", dst_domain)
   | # result: false
   

4. STR_EXPR の値が null の場合

   json "{'src_ip': null}"
   | eval result = matchioc("IP", null)
   | # result: false
   

変更履歴

matchioc() 関数は Sonar 4.0 より前のバージョンから提供されています。