Documentação do Oracle Cloud Infrastructure

sequence

Use esse comando para procurar padrões de registro de log nos grupos identificados pelo comando link.

Sintaxe

sequence name = <name> [<sequence_options>] <match_rules> select <output_fields>

Parâmetros

A tabela a seguir lista os parâmetros usados com esse comando, com suas descrições.

Parâmetro Descrição

name

Nome de exibição da sequência

sequence_options

Sintaxe: [field = <field_name>][span = <int><timescale>] [maxpause = <int><timescale>]

  • field: Campo de timestamp para classificar os registros de log. Se não for especificado, Time será usado.
  • span: Tempo para procurar os registros de log correspondentes
  • maxpause: Distância máxima entre dois registros de log ao executar a correspondência
  • timescale: <sec> | <min> | <hour> | <day> | <week> | <mon>

    sec: Os valores permitidos para esse parâmetro incluem s, sec, secs, second e seconds.

    min: Os valores permitidos para esse parâmetro incluem m, min, mins, minute ou minutes.

    hour: Os valores permitidos para esse parâmetro incluem h, hr, hrs, hour e hours.

    day: Os valores permitidos para esse parâmetro incluem d, day e days.

    week: Os valores permitidos para esse parâmetro incluem w, week e weeks.

    month: Os valores permitidos para esse parâmetro incluem mon, month e months.

match_rules

Sintaxe: <match_rule> [then <match_rule> ...] | between <match_rule> and <match_rule>

match_rule: <subquery> { <min_match> [,<max_match>] }

  • subquery: Subconsulta para corresponder aos registros de log
  • min_match: Número mínimo de correspondências
  • max_match: Número máximo de correspondências

output_fields

Os campos a serem retornados no resultado

Sintaxe: <field_name> [as <new_name>]

O seguinte comando procura 5 ou mais logins com falha seguidos por 1 ou mais logins bem-sucedidos: 

* | link Entity
  | sequence name = 'Security Event' span = 5min [ 'Security Result' = failure ]{5,} then [ 'Security Result' = success ]{1,} select 'Source IP Address'

O seguinte comando retorna detalhes da sessão entre dois eventos: 

* | link Account
  | sequence name = 'User Session' between [ Action = login ]{1,} and [ Action = logout ]{1,} select Action, Entity