consulta de cidra

Use o cidrlookup comando para enriquecer eventos combinando um campo IP com intervalos CIDR em uma tabela de pesquisa.

Sintaxe

| cidrlookup table ipField [AS cidrColumn]
    OUTPUT|OUTPUTNEW lookupField [AS eventField] [, ...]

O comando usa os seguintes argumentos:

• table— O nome da tabela de pesquisa contendo intervalos de CIDR.

• ipField— O campo do evento contendo o endereço IP correspondente.

• AS cidrColumn(Opcional) — A coluna na tabela de pesquisa que contém os intervalos de CIDR.

• OUTPUT|OUTPUTNEW— Use OUTPUT para sobrescrever campos existentes ou OUTPUTNEW para preencher somente campos vazios.

• lookupField— Um ou mais campos da tabela de pesquisa para adicionar ao evento.

Exemplo

A consulta a seguir enriquece os eventos com região, proprietário e datacenter a partir de uma tabela de pesquisa de rede.

fields @timestamp, srcAddr
| cidrlookup net_table srcAddr OUTPUT region, owner, datacenter