Arcsight Logger query

[useruser]

Iemand bekend met de syntax van ArcSight Logger?

Wil een query bouwen waar ik maar niet uitkom....

Specifiek: wil events zien van een bepaalde Windows eventID, maar negeren op bijvoorbeeld 01:30 tot 01:39 iedere nacht.

Nadeel is dat time fields allemaal een datum erin hebben en volgens mij harde data verwachten. Dus een %%%% 01:3%:00 werkt niet.

[F_J_K]

Ik ken hun syntax niet. Misschien kan je ipv <= en >= gaan werken met filteren op 01:3%:%. Of juist de som van alle andere gevallen: 00:%:% + 00:0%:% + 00:1%:% + ... + 02:%:% + 03:%:% + ...

[useruser]

Ik krijg het dus niet voor elkaar om een % in een datum veld te zetten. Hij zegt dan simpelweg "Bad date format" of "Year needs to be YYYY" .

Nu weet ik dat je met regex=/d[4] etc. bijvoorbeeld iets zou kunnen bouwen, maar loop constant maar tegen syntax errors e.d. aan. Vandaar mijn hoop dat er een ervaringsdeskundige aanwezig was

[Orion84]

Mijn ArcSight skills zijn wat roestig, maar als ik dat zo lees ben ik blij dat ik tegenwoordig met Splunk werk

Ik zal eens kijken of ik wat uit kan vogelen. Welke versie gebruik je?

[ Voor 7% gewijzigd door Orion84 op 26-04-2018 11:03 ]

[useruser]

Versie 6+

[Orion84]

Ik denk dat ik zou proberen om met eval / rex commando's de uren en minuten in een apart veld te stoppen, zodat je daar vervolgens op kan filteren.

Als je tegen problemen aanloopt met het kiezen van de juiste regex, post hem dan gerust. Ik zie je in je startpost regex=/d[4] noemen. Dat klinkt niet als hele logische syntax, bedoel je niet iets als \d{4} (voor 4 cijfers)?