cidrlookup

Utilisez la cidrlookup commande pour enrichir les événements en faisant correspondre un champ IP aux plages CIDR d'une table de recherche.

Syntaxe

| cidrlookup table ipField [AS cidrColumn]
    OUTPUT|OUTPUTNEW lookupField [AS eventField] [, ...]

La commande utilise les arguments suivants :

• table— Nom de la table de recherche contenant les plages d'adresses CIDR.

• ipField— Le champ d'événement contenant l'adresse IP à associer.

• AS cidrColumn(Facultatif) — Colonne de la table de recherche contenant les plages CIDR.

• OUTPUT|OUTPUTNEW— OUTPUT À utiliser pour remplacer des champs existants ou OUTPUTNEW pour ne remplir que des champs vides.

• lookupField— Un ou plusieurs champs de la table de recherche à ajouter à l'événement.

Exemple

La requête suivante enrichit les événements avec la région, le propriétaire et le centre de données à partir d'une table de recherche réseau.

fields @timestamp, srcAddr
| cidrlookup net_table srcAddr OUTPUT region, owner, datacenter