Documentation Oracle Cloud Infrastructure

sequence

Utilisez cette commande pour rechercher des modèles d'enregistrement de journal dans les groupes identifiés par la commande link.

Syntaxe

sequence name = <name> [<sequence_options>] <match_rules> select <output_fields>

Paramètres

Le tableau suivant répertorie les paramètres utilisés avec cette commande, ainsi que leur description.

Paramètre Description

name

Nom d'affichage de la séquence

sequence_options

Syntaxe : [field = <field_name>][span = <int><timescale>] [maxpause = <int><timescale>]

  • field : champ d'horodatage permettant de trier les enregistrements de journal. S'il n'est pas indiqué, Time est utilisé.
  • span : durée de recherche des enregistrements de journal correspondants
  • maxpause : distance maximale entre deux enregistrements de journal lors de la mise en correspondance
  • timescale: <sec> | <min> | <hour> | <day> | <week> | <mon>

    sec : les valeurs autorisées pour ce paramètre sont s, sec, secs, second et seconds.

    min : les valeurs autorisées pour ce paramètre sont m, min, mins, minute et minutes.

    hour : les valeurs autorisées pour ce paramètre sont h, hr, hrs, hour et hours.

    week : les valeurs autorisées pour ce paramètre sont w, week et weeks.

    month : les valeurs autorisées pour ce paramètre sont mon, month et months.

match_rules

Syntaxe : <match_rule> [then <match_rule> ...] | between <match_rule> and <match_rule>

match_rule: <subquery> { <min_match> [,<max_match>] }

  • subquery : sous-requête correspondant aux enregistrements de journal
  • min_match : nombre minimal de correspondances
  • max_match : nombre maximal de correspondances

output_fields

Champs à renvoyer dans le résultat

Syntaxe : <field_name> [as <new_name>]

La commande suivante recherche 5 connexions ayant échoué ou plus, suivies de 1 connexion réussie ou plus : 

* | link Entity
  | sequence name = 'Security Event' span = 5min [ 'Security Result' = failure ]{5,} then [ 'Security Result' = success ]{1,} select 'Source IP Address'

La commande suivante renvoie les détails de session entre deux événements : 

* | link Account
  | sequence name = 'User Session' between [ Action = login ]{1,} and [ Action = logout ]{1,} select Action, Entity