sonar-ip-addresses

資産として登録されているIPアドレスの一覧を取得します。オプションなしで実行すると登録されているすべての資産IPを返し、cve オプションを使用すると特定のCVE脆弱性が登録されている資産IPのみを返します。

sonar-ip-addresses [cve=STR]

フィールド	型	説明
`guid`	string	資産IP GUID
`ip`	string	IPアドレス
`category_name`	string	資産分類名
`category_guid`	string	資産分類GUID
`hostname`	string	ホスト名
`workgroup`	string	ワークグループまたはドメイン
`description`	string	資産の説明
`priority`	string	資産の優先度（`LOW`、`MEDIUM`、`HIGH`）
`emp_name`	string	第1担当者名
`emp_name2`	string	第2担当者名
`emp_guid`	string	第1担当者GUID
`emp_guid2`	string	第2担当者GUID
`emp_key`	string	第1担当者キー
`emp_key2`	string	第2担当者キー
`dept_name`	string	第1担当者の部署名
`dept_name2`	string	第2担当者の部署名
`os_name`	string	オペレーティングシステム名
`os_ver`	string	オペレーティングシステムバージョン
`confidentiality`	string	機密性ランク（CIAトライアド、`LOW`、`MEDIUM`、`HIGH`）
`integrity`	string	完全性ランク（CIAトライアド、`LOW`、`MEDIUM`、`HIGH`）
`availability`	string	可用性ランク（CIAトライアド、`LOW`、`MEDIUM`、`HIGH`）
`created`	timestamp	資産登録日時
`updated`	timestamp	資産の最終更新日時
`mac`	string	MACアドレス
`location`	string	資産の場所
`installed`	timestamp	インストール日
`site_name`	string	サイト名
`site_guid`	string	サイトGUID
`ext0` ～ `ext9`	string	ユーザー定義拡張フィールド0〜9

エラーコード	メッセージ	説明
300101	Invalid sonar session.	無効なセッションで実行した場合
300142	Invalid CVE ID format.	`cve`オプションの値が正しいCVE ID形式でない場合。エラーコードは系列によって異なります — 5.0系（5.0.2605.2まで）は300142、4.0系は300184です

該当なし

sonar-ip-addresses はSonarに資産IPとして登録された情報を取得します。内部的に1,000件ずつページ単位で取得してすべての資産IPを順番に返します。

cve オプションを使用すると指定したCVE脆弱性が登録されている資産IPのみを返します。CVE IDは大文字・小文字を区別せず、内部的に大文字に変換されます。

結果を他のイベントデータと join したり、iplookup と組み合わせて使用すると、イベントが発生した資産の詳細情報を取得できます。

特定のCVE脆弱性が登録されている資産IPのみを取得

sonar-ip-addresses cve="CVE-2024-12345"
| fields ip, hostname, os_name, os_ver, dept_name

資産IPリストとイベントをジョインしてイベント発生資産の情報を取得

event duration=1h
| join dst_ip [ sonar-ip-addresses | rename ip as dst_ip ]
| fields _time, src_ip, dst_ip, hostname, dept_name

sonar-ip-addresses コマンドはSonar 4.0.2609.0(5.0系は5.0.2603.0)バージョンから利用可能です。