搜尋

於左側目錄選擇「日誌」→「搜尋」進入簡易搜尋頁面。

1.欄位設定

(1)點擊開啟欄位設定視窗,設定完畢後點擊「儲存」完成設定。

(2)關聯式查詢欄位設定

點擊輸入框空白處開啟下拉選單,供使用者自行設定搜尋欄位

safe3144

可針對目標IP/目標皆口/來源IP/來源皆口/動作等設定相對的搜尋欄位,並可自行輸入成功及失敗的關鍵字

(3)Windows欄位設定

可針對事件ID欄位設定相對的搜尋欄位。

點擊輸入框空白處開啟下拉選單,供使用者自行設定搜尋事件ID。

 safe3145

(2)防火牆欄位設定

點擊輸入框空白處開啟下拉選單,供使用者自行設定搜尋欄位。

 

可針對目標IP/目標皆口/來源IP/來源皆口/動作等設定相對的搜尋欄位,並可自行輸入成功及失敗的關鍵字

(3)Windows欄位設定:可針對事件ID欄位設定相對的搜尋欄位。

點擊輸入框空白處開啟下拉選單,供使用者自行設定搜尋事件ID。

2.搜尋功能

搜尋功能提供預設常用搜尋欄位讓使用者可以簡易搜尋相關事件:

(1) 關聯式查詢:可直接輸入來源IP/目標IP/來源接口(Port)/目標接口(Port)等資訊查詢特定IP/Port 的事件。 safe3146

(2) Windows:可直接輸入主機Hostname,或是點選下拉式選單選取預設帳號稽核事件進行事件搜尋。 safe3147

3.查詢結果匯出

點擊 icon可將日誌以CSV檔進行匯出。


進階搜尋

1.搜尋來源

各種日誌對應的索引如下:

(1)metricbeat-*代表主機本身的系統監控日誌。

(2)weblog-*代表主機本身的網頁行為紀錄。

(3)restored-safe3r2-*代表Safe3.0所回存的資料。

(4)safe3r2-*代表Safe3.0使用者的日誌資料。

2.關鍵字搜尋

以下說明關鍵字搜尋使用方式與基本語法。

(1) 字串查詢:由一個或多個單詞或短語組成,短語須使用雙引號包圍,例如:"test search"。

(2) 特定欄位查詢:SAFE3.0支援搜索特定欄位,例如:EventID:4726。

(3) 正規表達式查詢:SAFE3.0支援萬用字元,讓使用者可以使用不確定的字串方式進行查詢,例如:「」:多個任意字元。例如 mana,代表mana為開頭的字串,「?」:單獨任意字元。例如:te?t,代表test或text等字串。

(4) 範圍查詢:SAFE3.0支援範圍查詢,根據使用的括號類型決定包括或排除邊界,例如:響應時間:[10 TO ],代表響應時間大於或等於10的所有事件,響應時間:{10 TO },代表響應時間大於10的所有事件。

(5) 運算符:運算符包含AND、OR、NOT,透過運算符可組合多個子查詢,例如:NOT EventID:4726,代表除EventID為4726之外的所有事件。

3.關鍵字搜尋範例

以查詢最近24小時Windows帳號創建及帳號刪除事件日誌為例,建立查詢條件步驟如下:

  • 點選左側功能列的「日誌」→「搜尋」項目。

       

  • 於查詢畫面右上角選擇欲查看日誌的時間區間(最近24小時)。
  • 於查詢畫面上方【搜尋...】欄位輸入查詢字串(EventID:4720 OR EventID:4726)。
  • 於查詢畫面左側欄位清單【safe3r2-*】中的「可用字段」選擇【添加】欲查詢的欄位(例如"EventTime","SubjectUserName","SubjectDomainName","EventID","TargetUserName","EventType"等欄位)。

4.關鍵字搜尋設定

資料收集首次解析的日誌可能會有欄位未同步的問題,於Log內容前出現「驚嘆號」,表示需要更新系統日誌格式,以避免未來查詢或者報表產製發生問題,可使用下列方式排除問題。

若展開log table格式出現驚嘆號符號如下,請聯絡窗口協助處理。

5.儲存搜尋條件

使用者可以儲存搜尋條件,作為未來查詢使用。

  • 於查詢畫面右上角按下「儲存」,建議查詢條件命名規則為:功能-設備-事件-其他(OS-Windows-Account_create_and_delete)。
  • 點擊「儲存」。

6.匯出搜尋條件

使用者可以用下列2種方式匯出搜尋資料。

  • 儲存完搜尋條件後選擇「共享」,即可產製CSV檔案匯出搜尋資料。
  • 選擇「打開」後,選擇已儲存的搜尋條件,並於頁面上方選擇要搜尋的時間區段,待資料搜尋完成後,即可點選「共享」產製CSV檔案進行匯出,並至「下載」頁面進行下載。

排程匯出

於左側目錄點擊「日誌」→「排程匯出」進入排程匯出新增編輯頁。

1.新增排程

點擊新增safe3089icon開啟新增排程設定頁。

(1)過濾條件名稱:點擊輸入框開啟下拉選單,使用者可選擇需要進行排程匯出寄送的過濾條件。

(2) 收件者:必填欄位,點擊輸入框開啟下拉選單,選擇排程寄送的收件角色群組,或是直接輸入Email。

(3) 資料周期

safe3046

  • 小時:資料一小時產製並寄送一次。
  • 天:資料一天產製並寄送一次。

(4) 產製時間:當資料產製周期設定為天時,可選擇資料產製的特定時間點。

safe3047

(5) 點擊「儲存」完成設定。

safe3048

3.2啟用排程

勾選欲啟用排程匯出的過濾條件後點擊「勾選啟用」,即完成排程匯出設定。


資料下載

(1) 至「搜尋」頁面,點擊打開,選擇已儲存的搜尋條件。

(2) 選擇欲匯出的日誌日期區間後,點擊「共享」。

(3) 點擊「匯出成CSV」,並至「日誌」->「下載」將日誌CSV檔下載至本機。

(4) 點擊下載icon,將日誌進行下載。

5. 刪除日誌CSV檔:勾選欲刪除的CSV檔 checkbox,點擊刪除選擇並可完成刪除作業。

6. 設定日誌排程匯出:點擊日曆icon,可開啟排程匯出編輯頁。