- Главная страница
- Разработка ПО
- О NTechnology
- База знаний
- NTechnology SIEM
- 11. Работа с инцидентами
- 11.8 Работа с пользовательскими запросами
- 11.8.2 Фильтрация на странице "Инциденты"
- Главная страница
- Разработка ПО
- О NTechnology
- База знаний
- NTechnology SIEM
- 11. Работа с инцидентами
- 11.8 Работа с пользовательскими запросами
- 11.8.2 Фильтрация на странице "Инциденты"
11.8.2 Фильтрация на странице "Инциденты"
Для фильтрации инцидентов необходимо в поле поиска задать запрос и нажать на кнопку:
Далее отобразится таблица с данными, соответствующими условиям запроса.
Быстрое создание запроса из карточки объекта
На страницах "Инциденты" существует возможность создания запросов путем нажатия на значение полей в блоке с подробной информацией об инциденте (см. Руководство Пользователя).
Ручной ввод запроса
Общий поиск.
Введите искомое значение поля в строку поиска, например, test1. Система найдет все записи, содержащие слово «test1» в любом из полей таблицы.
Для поиска точной фразы (несколько слов подряд) используйте двойные кавычки. Например, если введен запрос: "Account_was_successfully_logged", то система найдет только те записи, где эти три слова стоят вместе в таком же порядке.
Поиск по названию поля.
Запросы могут быть организованы в виде пар "ключ:значение". Основной формат ввода состоит из пары, где ключ и значение разделены символом ":". Ключ представляет собой название поля события. Значение представляет собой данные, соответствующие ключу. Значения могут быть представлены или в кавычках «" "», или без них.
Если нужно найти точное значение поля, необходимо заключать фразу в двойные кавычки. Например, если введен запрос: name:"Abnormal activity", то система найдет все записи, где в поле name присутствует фраза: Abnormal activity.
Если запрос не заключен в кавычки, например: name:Abnormal activity, то система находит записи, где поле name содержит слово Abnormal или где любое другое поле содержит слово activity. Таким образом, первое слово после двоеточия ищется в указанном поле. Все последующие слова (без кавычек) ищутся уже по всем полям (как в общем поиске).
Список всех доступных для поиска полей приведен в таблице ниже (табл. 6).
Таблица 6 – Схема полей для поиска на странице "Инциденты"
| Наименование для поиска | Наименование в пользовательском интерфейсе | Поле для сортировки |
|---|---|---|
severity_name | Уровень критичности | + |
status_name | Статус | + |
name | Наименование инцидента | + |
description | Описание инцидента | + |
key_value | Идентификатор инцидента | + |
correlation_rule | Правило корреляции | + |
source_ipv4 | Адрес источника в формате ipv4 | + |
destination_ipv4 | Адрес назначения в формате ipv4 | + |
created_at | Время создания | + |
updated_at | Время обновления | + (по умолчанию) |
assigned_to_name | Ответственный пользователь | + |
Для комбинирования нескольких условий используются операторы (табл. 7), которые являются регистронезависимыми.
Таблица 7 – Операторы для фильтрации на странице "Инциденты"
| Текстовый оператор | Символ | Описание | Синтаксис |
|---|---|---|---|
OR | () | Логическое ИЛИ. Используется для объединения условий, где достаточно выполнения хотя бы одного из них. | source_ipv4:"192.168.10.1" OR name:"Incident 1" |
AND | + | Логическое И. Используется для объединения условий, требующих одновременного выполнения. При этом оператор "AND" обладает приоритетом. Таким образом, оператор "+" помечает обязательные для выборки поля, остальные поля могут быть использованы для уточнения выборки. | source_ipv4:"192.168.10.1" AND name:"Incident 1" OR name:"Abnormal activity" эквивалентен запросу: (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) OR name:"Abnormal activity" source_ipv4:"192.168.10.1" + name:"Incident 1" |
- | Логическое НЕ. Используется для исключения определенных условий. Обратить внимание, что запрос с символом "-" следует писать без пробелов. | source_ipv4:"192.168.10.1" - name:"Incident 1" | |
() | Используется для группировки операторов. | (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) AND name:"Abnormal activity" | |
[] | Используется для поиска по заданному диапазону, включая граничные значения | created_at:[2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00] | |
{} | Используется для поиска по заданному диапазону, исключая граничные значения | created_at:{2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00} | |
IN | Используется для объединения условий, где достаточно выполнения хотя бы одного из них. Способ заменить множество условий с оператором OR. | name: IN [test 1, test 2, test 3] | |
* | Используется для поиска по всем полям. | * -source_ipv4:"1.1.1.1" | |
~ | Используется для поиска по неточной фразе, позволяет установить соответствующее расстояние фразы в словах. | description: "тест русском" ~1 |
Важно помнить, что при работе с временем необходимо использовать формат UTC, а также отделять временные метки пробелами с двух сторон.
При необходимости использования кавычек как часть поискового запроса следует использовать специальный синтаксис при помощи символа «\»:
Block of code
description:"Incident of type \"Significally dangerouse\" be careful"
Пример 1 валидного запроса. Отфильтровать инциденты по условию: показать все инциденты, кроме тех, у кого адрес источника IP-адрес «1.1.1.1» и тех, у кого IP-адрес назначения «2.2.2.2»:
Block of code
* -source_ipv4:"1.1.1.1" -destination_ipv4:"2.2.2.2"
Пример 2 валидного запроса. Отфильтровать инциденты по условию: показать инцидент c ID «11»:
Block of code
key_value:"11"
Пример невалидного запроса. Отфильтровать инциденты по условию: время создания от 15.11.2025 по 16.11.2025. Запрос является невалидным, так как диапазон указывается в «[]» или «{}» через «TO».
created_at:2025-11-15T11:00:00.0+03:00 - 2025-11-16T11:00:00.0+03:00
- Главная страница
- Разработка ПО
- О NTechnology
- База знаний
- NTechnology SIEM
- 11. Работа с инцидентами
- 11.8 Работа с пользовательскими запросами
- 11.8.2 Фильтрация на странице "Инциденты"
- Главная страница
- Разработка ПО
- О NTechnology
- База знаний
- NTechnology SIEM
- 11. Работа с инцидентами
- 11.8 Работа с пользовательскими запросами
- 11.8.2 Фильтрация на странице "Инциденты"
11.8.2 Фильтрация на странице "Инциденты"
Для фильтрации инцидентов необходимо в поле поиска задать запрос и нажать на кнопку:
Далее отобразится таблица с данными, соответствующими условиям запроса.
Быстрое создание запроса из карточки объекта
На страницах "Инциденты" существует возможность создания запросов путем нажатия на значение полей в блоке с подробной информацией об инциденте (см. Руководство Пользователя).
Ручной ввод запроса
Общий поиск.
Введите искомое значение поля в строку поиска, например, test1. Система найдет все записи, содержащие слово «test1» в любом из полей таблицы.
Для поиска точной фразы (несколько слов подряд) используйте двойные кавычки. Например, если введен запрос: "Account_was_successfully_logged", то система найдет только те записи, где эти три слова стоят вместе в таком же порядке.
Поиск по названию поля.
Запросы могут быть организованы в виде пар "ключ:значение". Основной формат ввода состоит из пары, где ключ и значение разделены символом ":". Ключ представляет собой название поля события. Значение представляет собой данные, соответствующие ключу. Значения могут быть представлены или в кавычках «" "», или без них.
Если нужно найти точное значение поля, необходимо заключать фразу в двойные кавычки. Например, если введен запрос: name:"Abnormal activity", то система найдет все записи, где в поле name присутствует фраза: Abnormal activity.
Если запрос не заключен в кавычки, например: name:Abnormal activity, то система находит записи, где поле name содержит слово Abnormal или где любое другое поле содержит слово activity. Таким образом, первое слово после двоеточия ищется в указанном поле. Все последующие слова (без кавычек) ищутся уже по всем полям (как в общем поиске).
Список всех доступных для поиска полей приведен в таблице ниже (табл. 6).
Таблица 6 – Схема полей для поиска на странице "Инциденты"
| Наименование для поиска | Наименование в пользовательском интерфейсе | Поле для сортировки |
|---|---|---|
severity_name | Уровень критичности | + |
status_name | Статус | + |
name | Наименование инцидента | + |
description | Описание инцидента | + |
key_value | Идентификатор инцидента | + |
correlation_rule | Правило корреляции | + |
source_ipv4 | Адрес источника в формате ipv4 | + |
destination_ipv4 | Адрес назначения в формате ipv4 | + |
created_at | Время создания | + |
updated_at | Время обновления | + (по умолчанию) |
assigned_to_name | Ответственный пользователь | + |
Для комбинирования нескольких условий используются операторы (табл. 7), которые являются регистронезависимыми.
Таблица 7 – Операторы для фильтрации на странице "Инциденты"
| Текстовый оператор | Символ | Описание | Синтаксис |
|---|---|---|---|
OR | () | Логическое ИЛИ. Используется для объединения условий, где достаточно выполнения хотя бы одного из них. | source_ipv4:"192.168.10.1" OR name:"Incident 1" |
AND | + | Логическое И. Используется для объединения условий, требующих одновременного выполнения. При этом оператор "AND" обладает приоритетом. Таким образом, оператор "+" помечает обязательные для выборки поля, остальные поля могут быть использованы для уточнения выборки. | source_ipv4:"192.168.10.1" AND name:"Incident 1" OR name:"Abnormal activity" эквивалентен запросу: (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) OR name:"Abnormal activity" source_ipv4:"192.168.10.1" + name:"Incident 1" |
- | Логическое НЕ. Используется для исключения определенных условий. Обратить внимание, что запрос с символом "-" следует писать без пробелов. | source_ipv4:"192.168.10.1" - name:"Incident 1" | |
() | Используется для группировки операторов. | (source_ipv4:"192.168.10.1" AND name:"Incident 1" ) AND name:"Abnormal activity" | |
[] | Используется для поиска по заданному диапазону, включая граничные значения | created_at:[2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00] | |
{} | Используется для поиска по заданному диапазону, исключая граничные значения | created_at:{2025-11-15T11:03:54.139462+03:00 TO 2025-11-16T11:03:54.139462+03:00} | |
IN | Используется для объединения условий, где достаточно выполнения хотя бы одного из них. Способ заменить множество условий с оператором OR. | name: IN [test 1, test 2, test 3] | |
* | Используется для поиска по всем полям. | * -source_ipv4:"1.1.1.1" | |
~ | Используется для поиска по неточной фразе, позволяет установить соответствующее расстояние фразы в словах. | description: "тест русском" ~1 |
Важно помнить, что при работе с временем необходимо использовать формат UTC, а также отделять временные метки пробелами с двух сторон.
При необходимости использования кавычек как часть поискового запроса следует использовать специальный синтаксис при помощи символа «\»:
Block of code
description:"Incident of type \"Significally dangerouse\" be careful"
Пример 1 валидного запроса. Отфильтровать инциденты по условию: показать все инциденты, кроме тех, у кого адрес источника IP-адрес «1.1.1.1» и тех, у кого IP-адрес назначения «2.2.2.2»:
Block of code
* -source_ipv4:"1.1.1.1" -destination_ipv4:"2.2.2.2"
Пример 2 валидного запроса. Отфильтровать инциденты по условию: показать инцидент c ID «11»:
Block of code
key_value:"11"
Пример невалидного запроса. Отфильтровать инциденты по условию: время создания от 15.11.2025 по 16.11.2025. Запрос является невалидным, так как диапазон указывается в «[]» или «{}» через «TO».
created_at:2025-11-15T11:00:00.0+03:00 - 2025-11-16T11:00:00.0+03:00