sonar-signature-to-capecs

入力されたシグネチャからCAPECリストを返します。指定したアプリコードのシグネチャサービスを照会し、入力レコードのシグネチャフィールドにマッピングされたCAPEC IDリストとシグネチャGUIDをレコードに追加します。

コマンドプロパティ

構文

オプション

appcode=STR

シグネチャを照会するアプリコードです。

field=STR

シグネチャ値が含まれる入力フィールド名です（デフォルト値: signature）。

入力フィールド

出力フィールド

エラーコード

パースエラー

該当なし

ランタイムエラー

該当なし

説明

sonar-signature-to-capecs は、入力レコードの field オプションで指定したフィールドからシグネチャ文字列を読み取り、シグネチャサービスを照会します。照会時に appcode で指定したアプリコードでシグネチャの範囲を限定します。

一致するシグネチャが見つかった場合、そのシグネチャのGUIDを _signature_guid に、紐付けられたCAPEC IDリストを _capecs に割り当てます。一致するシグネチャがない場合、field で指定したフィールドが null の場合、または文字列でない場合は、両方の出力フィールドに null を割り当てます。

バッチ処理時はレコードバッチから一意のシグネチャ値リストを先に抽出してから一括照会するため、同じシグネチャが複数のレコードにあっても1回のみ照会します。

使用例

1. イベントの signature フィールドでCAPECリストを照会

   table duration=1h sonar_events
   | sonar-signature-to-capecs appcode="snr.ndr"
   | fields signature, _signature_guid, _capecs
   

2. sig_name フィールドにシグネチャ値がある場合

   table duration=1h sonar_events
   | sonar-signature-to-capecs appcode="snr.ndr" field="sig_name"
   | fields sig_name, _signature_guid, _capecs
   

3. CAPECがマッピングされたイベントのみフィルタリング

   table duration=1d sonar_events
   | sonar-signature-to-capecs appcode="snr.ndr"
   | search isnotnull(_capecs)
   | stats count by _capecs
   | sort -count
   

互換性

sonar-signature-to-capecs コマンドは、Sonar 5.0.2603.0バージョンから利用可能です。