Documentación de Oracle Cloud Infrastructure

sequence

Utilice este comando para buscar patrones de registro de log dentro de los grupos identificados por el comando link.

Sintaxis

sequence name = <name> [<sequence_options>] <match_rules> select <output_fields>

Parámetros

En la siguiente tabla se muestran los parámetros utilizados con este comando, junto con sus descripciones.

Parámetro Descripción

name

Nombre mostrado de secuencia

sequence_options

Sintaxis: [field = <field_name>][span = <int><timescale>] [maxpause = <int><timescale>]

  • field: campo de registro de hora para ordenar los registros de log. Si no se especifica, se utiliza Time.
  • span: duración de la búsqueda de los registros log coincidentes
  • maxpause: distancia máxima entre dos registros de log al realizar la coincidencia
  • timescale: <sec> | <min> | <hour> | <day> | <week> | <mon>

    sec: los valores permitidos para este parámetro incluyen s, sec, secs, second y seconds.

    min: los valores permitidos para este parámetro incluyen m, min, mins, minute o minutes.

    hour: los valores permitidos para este parámetro son h, hr, hrs, hour y hours.

    week: los valores permitidos para este parámetro son w, week y weeks.

    month: los valores permitidos para este parámetro son mon, month y months.

match_rules

Sintaxis: <match_rule> [then <match_rule> ...] | between <match_rule> and <match_rule>

match_rule: <subquery> { <min_match> [,<max_match>] }

  • subquery: subconsulta que coincide con los registros de log
  • min_match: número mínimo de coincidencias
  • max_match: número máximo de coincidencias

output_fields

Los campos que se devolverán en el resultado

Sintaxis: <field_name> [as <new_name>]

El siguiente comando busca 5 o más inicios de sesión fallidos seguidos de 1 o más inicios de sesión correctos: 

* | link Entity
  | sequence name = 'Security Event' span = 5min [ 'Security Result' = failure ]{5,} then [ 'Security Result' = success ]{1,} select 'Source IP Address'

El siguiente comando devuelve los detalles de la sesión entre dos eventos: 

* | link Account
  | sequence name = 'User Session' between [ Action = login ]{1,} and [ Action = logout ]{1,} select Action, Entity