Kaspersky Security Center 15.1 Windows
15.1
Русский
Kaspersky Security Center 15.1  >  Экспорт событий в SIEM-системы  >  Экспорт событий напрямую из базы данных  >  Пример SQL-запроса, созданного с помощью утилиты klsql2

Пример SQL-запроса, созданного с помощью утилиты klsql2

В этом разделе приведен пример SQL-запроса, выполненного с помощью утилиты klsql2.

Следующие примеры показывают, как получить список событий, зарегистрированных на устройствах пользователей за последние 7 дней, и отсортировать их по времени возникновения, самые недавние события отображаются первыми.

Пример для Microsoft SQL Server:

SELECT

  e.nId, /* идентификатор события */

  e.tmRiseTime, /* время возникновения события */

  e.strEventType, /* внутреннее имя типа события */

  e.wstrEventTypeDisplayName, /* отображаемое имя события */

  e.wstrDescription, /* отображаемое описание события */

  e.wstrGroupName, /* имя группы устройств */

  h.wstrDisplayName, /* отображаемое имя устройства, на котором произошло событие */

  CAST(((h.nIp / 16777216) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp / 65536) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp / 256) & 255) AS varchar(4)) + '.' +

  CAST(((h.nIp) & 255) AS varchar(4)) as strIp /* IP-адрес устройства, на котором произошло событие */

FROM v_akpub_ev_event e

  INNER JOIN v_akpub_host h ON h.nId=e.nHostId

WHERE e.tmRiseTime>=DATEADD(Day, -7, GETUTCDATE())

ORDER BY e.tmRiseTime DESC

Пример для PostgreSQL:

SELECT

  "e"."nId", /* идентификатор события */

  "e"."tmRiseTime", /* время возникновения события */

  "e"."strEventType", /* внутреннее имя типа события */

  "e"."wstrEventTypeDisplayName", /* отображаемое имя события */

  "e"."wstrDescription", /* отображаемое описание события */

  "e"."wstrGroupName", /* отображаемое описание события */

  "h"."wstrDisplayName", /* отображаемое имя устройства, на котором произошло событие */

  (

    CAST((("h"."nIp" / 16777216 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" / 65536 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" / 256 )& 255 ) AS VARCHAR(4)) || '.' ||

    CAST((("h"."nIp" )& 255 ) AS VARCHAR(4))

  ) AS "strIp" /* IP-адрес устройства, на котором произошло событие */

FROM "v_akpub_ev_event" AS "e"

  INNER JOIN "v_akpub_host" AS "h" ON "h"."nId" = "e"."nHostId"

WHERE "e"."tmRiseTime" >= NOW() AT TIME ZONE 'utc' + make_interval(days => CAST(-7 AS INT))

ORDER BY "e"."tmRiseTime" DESC ;

Пример для MySQL или MariaDB:

SELECT

  `e`.`nId`, /* идентификатор события */

  `e`.`tmRiseTime`, /* время возникновения события */

  `e`.`strEventType`, /* внутреннее имя типа события */

  `e`.`wstrEventTypeDisplayName`, /* отображаемое имя события */

  `e`.`wstrDescription`, /* отображаемое описание события */

  `e`.`wstrGroupName`, /* имя группы устройств */

  `h`.`wstrDisplayName`, /* отображаемое имя устройства, на котором произошло событие */

  CONCAT(

    LEFT(CAST(((`h`.`nIp` DIV 1677721) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp` DIV 65536) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp` DIV 256) & 255) AS CHAR), 4), '.',

    LEFT(CAST(((`h`.`nIp`) & 255) AS CHAR), 4)

  ) AS `strIp` /* IP-адрес устройства, на котором произошло событие */

FROM `v_akpub_ev_event` AS `e`

  INNER JOIN `v_akpub_host` AS `h` ON `h`.`nId` = `e`.`nHostId`

WHERE `e`.`tmRiseTime` >= ADDDATE( UTC_TIMESTAMP( ) , INTERVAL -7 DAY)

ORDER BY `e`.`tmRiseTime` DESC ;

См. также:

Настройка экспорта событий в SIEM-системы
Идентификатор статьи: 151338, Последнее изменение: 17 мар. 2025 г.
В начало