12.7 Фильтрация на странице "Активы"

Для фильтрации активов необходимо в поле поиска задать запрос и нажать на кнопку:

Далее отобразится таблица с данными, соответствующими условиям запроса.

На страницах "Активы" существует возможность создания запросов путем нажатия на значение полей в блоке с подробной информацией об инциденте (см. Руководство Пользователя).

Ручной ввод запроса

Общий поиск

Введите искомое значение поля в строку поиска, например, test1. Система найдет все записи, содержащие слово «test1» в любом из полей таблицы.

Для поиска точной фразы (несколько слов подряд) используйте двойные кавычки. Например, если введен запрос: "Account_was_successfully_logged", то система найдет только те записи, где эти три слова стоят вместе в таком же порядке.

Поиск по названию поля

Запросы могут быть организованы в виде пар "ключ:значение". Основной формат ввода состоит из пары, где ключ и значение разделены символом ":". Ключ представляет собой название поля события. Значение представляет собой данные, соответствующие ключу. Значения могут быть представлены или в кавычках «" "», или без них.

Если нужно найти точное значение поля, необходимо заключать фразу в двойные кавычки. Например, если введен запрос: name:"Abnormal activity", то система найдет все записи, где в поле name присутствует фраза: Abnormal activity.

Если запрос не заключен в кавычки, например: name:Abnormal activity, то система находит записи, где поле name содержит слово Abnormal или где любое другое поле содержит слово activity. Таким образом, первое слово после двоеточия ищется в указанном поле. Все последующие слова (без кавычек) ищутся уже по всем полям (как в общем поиске).

Список всех доступных для поиска полей приведен в таблице ниже (табл. 8).

Таблица 8 – Схема полей для поиска на странице «Активы»

Наименование для поиска	Наименование в пользовательском интерфейсе	Поле для сортировки
name	Наименование	+ (по умолчанию)
ip	IP-адрес	+
system	Операционная система	+
importance_name	Значимость	+
inactivity_notification_period	Срок актуальности данных	+
last_connection_at	Дата последнего подключения	+
groupe_name	Наименование группы активов	+
is_monitored	Отслеживание актива	+
is_active	Состояние актива	+

Наименование для поиска

name

Наименование в пользовательском интерфейсе

Наименование

Поле для сортировки

+ (по умолчанию)

Наименование для поиска

Наименование в пользовательском интерфейсе

IP-адрес

Поле для сортировки

Наименование для поиска

system

Наименование в пользовательском интерфейсе

Операционная система

Поле для сортировки

Наименование для поиска

importance_name

Наименование в пользовательском интерфейсе

Значимость

Поле для сортировки

Наименование для поиска

inactivity_notification_period

Наименование в пользовательском интерфейсе

Срок актуальности данных

Поле для сортировки

Наименование для поиска

last_connection_at

Наименование в пользовательском интерфейсе

Дата последнего подключения

Поле для сортировки

Наименование для поиска

groupe_name

Наименование в пользовательском интерфейсе

Наименование группы активов

Поле для сортировки

Наименование для поиска

is_monitored

Наименование в пользовательском интерфейсе

Отслеживание актива

Поле для сортировки

Наименование для поиска

is_active

Наименование в пользовательском интерфейсе

Состояние актива

Поле для сортировки

Наименование для поиска	Наименование в пользовательском интерфейсе	Поле для сортировки
name	Наименование	+ (по умолчанию)
ip	IP-адрес	+
system	Операционная система	+
importance_name	Значимость	+
inactivity_notification_period	Срок актуальности данных	+
last_connection_at	Дата последнего подключения	+
groupe_name	Наименование группы активов	+
is_monitored	Отслеживание актива	+
is_active	Состояние актива	+

Для комбинирования нескольких условий используются операторы (табл. 9), которые являются регистронезависимыми.

Таблица 9 – Операторы для фильтрации

Текстовый оператор	Символ	Описание	Синтаксис
OR	()	Логическое ИЛИ. Используется для объединения условий, где достаточно выполнения хотя бы одного из них.	source_ipv4:"192.168.10.1" OR name:"Incident 1"
AND	+	Логическое И. Используется для объединения условий, требующих одновременного выполнения. При этом оператор "AND" обладает приоритетом. Таким образом, оператор "+" помечает обязательные для выборки поля, остальные поля могут быть использованы для уточнения выборки.	source_ipv4:"192.168.10.1" AND name:"Incident 1" OR name:"Abnormal activity" эквивалентен запросу: (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) OR name:"Abnormal activity" source_ipv4:"192.168.10.1" + name:"Incident 1"
	-	Логическое НЕ. Используется для исключения определенных условий. Обратить внимание, что запрос с символом "-" следует писать без пробелов.	source_ipv4:"192.168.10.1" - name:"Incident 1"
	()	Используется для группировки операторов.	(source_ipv4:"192.168.10.1" AND name:"Incident 1" ) AND name:"Abnormal activity"
	[]	Используется для поиска по заданному диапазону, включая граничные значения	created_at:[2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00]
	{}	Используется для поиска по заданному диапазону, исключая граничные значения	created_at:{2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00}
	IN	Используется для объединения условий, где достаточно выполнения хотя бы одного из них. Способ заменить множество условий с оператором OR.	name: IN [test 1, test 2, test 3]
	*	Используется для поиска по всем полям.	* -source_ipv4:"1.1.1.1"
	~	Используется для поиска по неточной фразе, позволяет установить соответствующее расстояние фразы в словах.	description: "тест русском" ~1

Текстовый оператор

Символ

()

Описание

Логическое ИЛИ. Используется для объединения условий, где достаточно выполнения хотя бы одного из них.

Синтаксис

source_ipv4:"192.168.10.1" OR name:"Incident 1"

Текстовый оператор

AND

Символ

Описание

Логическое И. Используется для объединения условий, требующих одновременного выполнения. При этом оператор "AND" обладает приоритетом. Таким образом, оператор "+" помечает обязательные для выборки поля, остальные поля могут быть использованы для уточнения выборки.

Синтаксис

source_ipv4:"192.168.10.1" AND name:"Incident 1" OR name:"Abnormal activity" эквивалентен запросу: (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) OR name:"Abnormal activity" source_ipv4:"192.168.10.1" + name:"Incident 1"

Текстовый оператор

Символ

Описание

Логическое НЕ. Используется для исключения определенных условий. Обратить внимание, что запрос с символом "-" следует писать без пробелов.

Синтаксис

source_ipv4:"192.168.10.1" - name:"Incident 1"

Текстовый оператор

Символ

()

Описание

Используется для группировки операторов.

Синтаксис

(source_ipv4:"192.168.10.1" AND name:"Incident 1" ) AND name:"Abnormal activity"

Текстовый оператор

Символ

[]

Описание

Используется для поиска по заданному диапазону, включая граничные значения

Синтаксис

created_at:[2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00]

Текстовый оператор

Символ

{}

Описание

Используется для поиска по заданному диапазону, исключая граничные значения

Синтаксис

created_at:{2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00}

Текстовый оператор

Символ

Описание

Используется для объединения условий, где достаточно выполнения хотя бы одного из них. Способ заменить множество условий с оператором OR.

Синтаксис

name: IN [test 1, test 2, test 3]

Текстовый оператор

Символ

Описание

Используется для поиска по всем полям.

Синтаксис

* -source_ipv4:"1.1.1.1"

Текстовый оператор

Символ

Описание

Используется для поиска по неточной фразе, позволяет установить соответствующее расстояние фразы в словах.

Синтаксис

description: "тест русском" ~1

Текстовый оператор	Символ	Описание	Синтаксис
OR	()	Логическое ИЛИ. Используется для объединения условий, где достаточно выполнения хотя бы одного из них.	source_ipv4:"192.168.10.1" OR name:"Incident 1"
AND	+	Логическое И. Используется для объединения условий, требующих одновременного выполнения. При этом оператор "AND" обладает приоритетом. Таким образом, оператор "+" помечает обязательные для выборки поля, остальные поля могут быть использованы для уточнения выборки.	source_ipv4:"192.168.10.1" AND name:"Incident 1" OR name:"Abnormal activity" эквивалентен запросу: (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) OR name:"Abnormal activity" source_ipv4:"192.168.10.1" + name:"Incident 1"
	-	Логическое НЕ. Используется для исключения определенных условий. Обратить внимание, что запрос с символом "-" следует писать без пробелов.	source_ipv4:"192.168.10.1" - name:"Incident 1"
	()	Используется для группировки операторов.	(source_ipv4:"192.168.10.1" AND name:"Incident 1" ) AND name:"Abnormal activity"
	[]	Используется для поиска по заданному диапазону, включая граничные значения	created_at:[2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00]
	{}	Используется для поиска по заданному диапазону, исключая граничные значения	created_at:{2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00}
	IN	Используется для объединения условий, где достаточно выполнения хотя бы одного из них. Способ заменить множество условий с оператором OR.	name: IN [test 1, test 2, test 3]
	*	Используется для поиска по всем полям.	* -source_ipv4:"1.1.1.1"
	~	Используется для поиска по неточной фразе, позволяет установить соответствующее расстояние фразы в словах.	description: "тест русском" ~1

Важно помнить, что при работе с временем необходимо использовать формат UTC, а также отделять временные метки пробелами с двух сторон.

При необходимости использования кавычек как часть поискового запроса следует использовать специальный синтаксис при помощи символа «\»:

Block of code

description:"Incident of type \"Significally dangerouse\" be careful"

Пример 1 валидного запроса. Отфильтровать инциденты по условию: показать все инциденты, кроме тех, у кого адрес источника IP-адрес «1.1.1.1» и тех, у кого IP-адрес назначения «2.2.2.2»:

Block of code

* -source_ipv4:"1.1.1.1" -destination_ipv4:"2.2.2.2"

Пример 2 валидного запроса. Отфильтровать инциденты по условию: показать инцидент c ID «11»:

Block of code

key_value:"11"

Пример невалидного запроса. Отфильтровать инциденты по условию: время создания от 15.11.2025 по 16.11.2025. Запрос является невалидным, так как диапазон указывается в «[]» или «{}» через «TO».

created_at:2025-11-15T11:00:00.0+03:00 - 2025-11-16T11:00:00.0+03:00

Работа с группами активов

Работа с отчетами