| 연산 | 사용 지침 | 지원되는 필드 유형 | 예시 |
|---|---|---|---|
| 같음 / 같지 않음 | 필드가 필터의 값과 일치하거나 일치하지 않을 때 이벤트가 매칭됩니다 | string, ip, bool, int | username is “root” |
| is / is not (대소문자 구분 안 함) | 필드가 필터의 값과 대소문자를 구분하지 않고 일치하거나 일치하지 않을 때 이벤트가 매칭됩니다 | string, ip, bool, int | username is (대소문자 구분 안 함) “rOot” |
| is in / is not in | 필드가 필터의 값 목록 중 항목과 일치하거나 일치하지 않을 때 이벤트가 매칭됩니다 | string, int | username is in [ “root”, “admin” ] port is in [25, 553] |
| 비어 있음 | 필드의 값이 지정되지 않았을 때 이벤트가 매칭됩니다. 이 연산자는 데이터의 부재만 검사합니다 | string, int array, ip array, float array, bool array, string array | errors_list is empty |
| 비어 있지 않음 | 필드의 값이 지정되었을 때 이벤트가 매칭됩니다. 이 연산자는 데이터의 존재만 검사합니다 | string, int array, ip array, float array, bool array, string array | errors_list is not empty |
| 포함 | 지정된 필드의 값에 제공된 값이 포함되어 있을 때 이벤트가 매칭됩니다 이벤트 값이 문자열 또는 문자열 배열인 경우 부분 일치가 지원됩니다 | string, int array, ip array, bool array, string array | domain contains “.google.com” p_any_port contains 22 |
| contains (대소문자 구분 안 함) | 지정된 필드의 값에 제공된 값이 대소문자를 구분하지 않고 포함되어 있을 때 이벤트가 매칭됩니다 이벤트 값이 문자열 또는 문자열 배열인 경우 부분 일치가 지원됩니다 | string, string array | username contains (대소문자 구분 안 함) "bad"\n\np_any_email contains (대소문자 구분 안 함) "bad" |
| 포함하지 않음 | 지정된 필드의 값에 제공된 값이 포함되지 않을 때 이벤트가 매칭됩니다 이벤트 값이 문자열 또는 문자열 배열인 경우 부분 일치가 지원됩니다 | string, int array, ip array, bool array, string array | domain !contains “.google.com” p_any_port !contains 22 |
| does not contain (대소문자 구분 안 함) | 지정된 필드의 값에 제공된 값이 대소문자를 구분하지 않고 포함되지 않을 때 이벤트가 매칭됩니다 이벤트 값이 문자열 또는 문자열 배열인 경우 부분 일치가 지원됩니다 | string, string array | domain !contains (대소문자 구분 안 함) “.gOogle.com” p_any_email !contains "good" |
| starts with | 지정된 필드의 값이 제공된 값으로 시작할 때 이벤트가 매칭됩니다 | 문자열 | role starts with “admin_” |
| starts with (대소문자 구분 안 함) | 지정된 필드의 값이 제공된 값으로 대소문자를 구분하지 않고 시작할 때 이벤트가 매칭됩니다 | 문자열 | role starts with (대소문자 구분 안 함) “aDmin_” |
| does not start with | 지정된 필드의 값이 제공된 값으로 시작하지 않을 때 이벤트가 매칭됩니다 | 문자열 | role does not start with "admin_" |
| does not start with (대소문자 구분 안 함) | 지정된 필드의 값이 제공된 값으로 대소문자를 구분하지 않고 시작하지 않을 때 이벤트가 매칭됩니다 | 문자열 | role does not start with (대소문자 구분 안 함) "aDmin_" |
| ends with | 지정된 필드의 값이 제공된 값으로 끝날 때 이벤트가 매칭됩니다 | 문자열 | domain ends with “.cc” |
| ends with (대소문자 구분 안 함) | 지정된 필드의 값이 제공된 값으로 대소문자를 구분하지 않고 끝날 때 이벤트가 매칭됩니다 | 문자열 | domain ends with (대소문자 구분 안 함) “.Cc” |
| does not end with | 지정된 필드의 값이 제공된 값으로 끝나지 않을 때 이벤트가 매칭됩니다 | 문자열 | domain does not end with ".com" |
| does not end with (대소문자 구분 안 함) | 지정된 필드의 값이 제공된 값으로 대소문자를 구분하지 않고 끝나지 않을 때 이벤트가 매칭됩니다 | 문자열 | domain does not end with ".coM" |
| 보다 큼 | 필드의 값이 필터에 제공된 값보다 클 때 이벤트가 매칭됩니다 | int, float | port > 1023 |
| 보다 작음 | 필드의 값이 필터에 제공된 값보다 작을 때 이벤트가 매칭됩니다 | int, float | port < 1024 |
| 보다 크거나 같음 | 필드의 값이 필터에 제공된 값보다 크거나 같을 때 이벤트가 매칭됩니다 | int | count ≥ 1 |
| 보다 작거나 같음 | 필드의 값이 필터에 제공된 값보다 작거나 같을 때 이벤트가 매칭됩니다 | int | count ≤ 100 |
| is private | 지정된 IP 주소가 사설일 때 이벤트가 매칭됩니다 | IP | dst_ip is_private |
| is public | 지정된 IP 주소가 공용일 때 이벤트가 매칭됩니다 | IP | src_ip is_public |
| is in CIDR / is not in CIDR | 지정된 IP 주소가 제공된 CIDR(Classless Inter-Domain Routing) 블록 안에 있거나/없을 때 이벤트가 매칭됩니다 | IP | src_ip in_cidr 192.168.0.0/16 |
| CIDR 내 IP를 포함하지 않음 | 지정된 IP 배열에 제공된 CIDR 블록 안의 IP 주소가 하나도 포함되지 않을 때 이벤트가 매칭됩니다 | ip array | p_any_ip_address !contains_ip 8.8.0.0/16 p_any_ip_address !contains_ip 1.1.1.1/32 |
| CIDR 내 IP를 포함함 | 지정된 IP 배열에 제공된 CIDR 블록 안의 IP 주소가 포함될 때 이벤트가 매칭됩니다 | ip array | p_any_ip_address contains_ip 8.8.0.0/16 p_any_ip_address contains_ip 1.1.1.1/32 |
| 값 유형 | 설명 |
|---|---|
문자열 | 문자열 값 |
int | 범위의 32비트 정수 -2147483648, 2147483647 |
float | 64비트 부동소수점 숫자 |
불리언 | 불리언 값 true / false |
array | 각 요소가 동일한 유형인 JSON 배열 |
ip | 유효한 단일 IPv4 또는 IPv6 주소 |
CIDR | 클래스 없는 인터도메인 라우팅 블록 |