Documentazione dell'infrastruttura Oracle Cloud

sequence

Utilizzare questo comando per cercare i pattern di record di log all'interno dei gruppi identificati dal comando link.

Sintassi

sequence name = <name> [<sequence_options>] <match_rules> select <output_fields>

Parametri

La tabella seguente elenca i parametri utilizzati con questo comando e le relative descrizioni.

Parametro descrizione;

name

Nome visualizzato sequenza

sequence_options

Sintassi: [field = <field_name>][span = <int><timescale>] [maxpause = <int><timescale>]

  • field: campo Indicatore orario per ordinare i record di log. Se non specificato, viene utilizzato il valore Time.
  • span: periodo di tempo per la ricerca dei record di log corrispondenti
  • maxpause: distanza massima tra due record di log durante l'esecuzione della corrispondenza
  • timescale: <sec> | <min> | <hour> | <day> | <week> | <mon>

    sec: i valori consentiti per questo parametro includono s, sec, secs, second e seconds.

    min: i valori consentiti per questo parametro includono m, min, mins, minute o minutes.

    hour: i valori consentiti per questo parametro includono h, hr, hrs, hour e hours.

    week: i valori consentiti per questo parametro includono w, week e weeks.

    month: i valori consentiti per questo parametro includono mon, month e months.

match_rules

Sintassi: <match_rule> [then <match_rule> ...] | between <match_rule> and <match_rule>

match_rule: <subquery> { <min_match> [,<max_match>] }

  • subquery: subquery che corrisponde ai record di log
  • min_match: numero minimo di corrispondenze
  • max_match: numero massimo di corrispondenze

output_fields

I campi da restituire nel risultato

Sintassi: <field_name> [as <new_name>]

Il comando seguente cerca 5 o più login non riusciti seguiti da 1 o più login riusciti: 

* | link Entity
  | sequence name = 'Security Event' span = 5min [ 'Security Result' = failure ]{5,} then [ 'Security Result' = success ]{1,} select 'Source IP Address'

Il comando seguente restituisce i dettagli della sessione tra due eventi: 

* | link Account
  | sequence name = 'User Session' between [ Action = login ]{1,} and [ Action = logout ]{1,} select Action, Entity