Guida di Kaspersky Security Center 15 Linux
15
Italiano
Monitoraggio, generazione di rapporti e audit  >  Esportazione di eventi nei sistemi SIEM  >  Esportazione degli eventi direttamente dal database  >  Esempio di una query SQL nell'utilità klsql2

Esempio di una query SQL nell'utilità klsql2

Questa sezione fornisce un esempio di query SQL, eseguita tramite l'utilità klsql2.

I seguenti esempi illustrano il recupero degli eventi che si sono verificati nei dispositivi negli ultimi sette giorni e la visualizzazione degli eventi ordinati in base all'ora in cui si sono verificati. Gli eventi più recenti vengono visualizzati per primi.

Esempio per Microsoft SQL Server:

SELECT

  e.nId, /* identificatore dell'evento */

  e.tmRiseTime, /* ora in cui si è verificato l'evento */

  e.strEventType, /* nome interno del tipo di eventoe */

  e.wstrEventTypeDisplayName, /* nome visualizzato dell'evento */

  e.wstrDescription, /* descrizione visualizzata dell'evento */

  e.wstrGroupName, /* nome del gruppo a cui appartiene il dispositivo */

  h.wstrDisplayName, /* nome visualizzato del dispositivo in cui si è verificato l'evento */

  CAST(((h.nIp / 16777216) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp / 65536) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp / 256) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp) & 255) AS varchar(4)) as strIp /* Indirizzo IP del dispositivo in cui si è verificato l'evento */

FROM v_akpub_ev_event e

  INNER JOIN v_akpub_host h ON h.nId=e.nHostId

WHERE e.tmRiseTime>=DATEADD(Day, -7, GETUTCDATE())

ORDER BY e.tmRiseTime DESC

Esempio per PostgreSQL:

SELECT

  "e"."nId", /* identificatore dell'evento */

  "e"."tmRiseTime", /* ora in cui si è verificato l'evento */

  "e"."strEventType", /* nome interno del tipo di evento */

  "e"."wstrEventTypeDisplayName", /* nome visualizzato dell'evento */

  "e"."wstrDescription", /* descrizione visualizzata dell'evento */

  "e"."wstrGroupName", /* descrizione visualizzata dell'evento */

  "h"."wstrDisplayName", /* nome visualizzato del dispositivo in cui si è verificato l'evento */

  (

    CAST((("h"."nIp" / 16777216 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" / 65536 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" / 256 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" )& 255 ) AS VARCHAR(4))

  ) AS "strIp" /* indirizzo IP del dispositivo, in cui si è verificato l'evento */

FROM "v_akpub_ev_event" AS "e"

  INNER JOIN "v_akpub_host" AS "h" ON "h"."nId" = "e"."nHostId"

WHERE "e"."tmRiseTime" >= NOW() AT TIME ZONE 'utc' + make_interval(days => CAST(-7 AS INT))

ORDER BY "e"."tmRiseTime" DESC ;

Esempio per MySQL o MariaDB:

SELECT

  `e`.`nId`, /* identificatore dell'evento */

  `e`.`tmRiseTime`, /* ora in cui si è verificato l'evento */

  `e`.`strEventType`, /* nome interno del tipo di evento */

  `e`.`wstrEventTypeDisplayName`, /* nome visualizzato dell'evento */

  `e`.`wstrDescription`, /* descrizione visualizzata dell'evento */

  `e`.`wstrGroupName`, /* nome gruppo dispositivi */

  `h`.`wstrDisplayName`, /* nome visualizzato del dispositivo in cui si è verificato l'evento */

  CONCAT(

    LEFT(CAST(((`h`.`nIp` DIV 1677721) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp` DIV 65536) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp` DIV 256) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp`) & 255) AS CHAR), 4)

  ) AS `strIp` /* indirizzo IP del dispositivo, in cui si è verificato l'evento */

FROM `v_akpub_ev_event` AS `e`

  INNER JOIN `v_akpub_host` AS `h` ON `h`.`nId` = `e`.`nHostId`

WHERE `e`.`tmRiseTime` >= ADDDATE( UTC_TIMESTAMP( ) , INTERVAL -7 DAY)

ORDER BY `e`.`tmRiseTime` DESC ;

Vedere anche:

Configurazione dell'esportazione di eventi nei sistemi SIEM
ID articolo: 151338, Ultima revisione: 17 apr 2025
Inizio pagina