Disques
Les enregistrements sont des informations structurées sur les flux de transactions, de messages et de réseaux qui sont générées et envoyées depuis le système ExtraHop vers un espace de stockage des enregistrements. Une fois vos enregistrements collectés et stockés, vous pouvez les rechercher dans le système ExtraHop.
Les enregistrements sont collectés à deux niveaux de protocole : L3 et L7. Les enregistrements L3 (ou flux) indiquent les transactions de couche réseau entre deux appareils via le protocole IP. Les enregistrements L7 indiquent les transactions basées sur des messages (comme ActiveMQ, DNS et DHCP), transactionnelles (telles que HTTP, CIFS et NFS) et basées sur des sessions (telles que SSL et ICA).
Vidéo : | Consultez la formation associée : Disques |
Avant de commencer
- Vous devez disposer d'un espace de stockage des enregistrements configuré, tel qu'un espace de stockage des enregistrements ExtraHop, Splunk, Google BigQuery, ou Balance à journaux CrowdStrike Falçon.
- Vous ne pouvez configurer qu'un seul espace de stockage des enregistrements pour le système ExtraHop.
- Votre système ExtraHop doit être configuré pour collecter et stocker enregistrements de flux ou records L7.
Affinez votre filtre de requête d'enregistrement
Vous pouvez affiner votre filtre de recherche d'enregistrements de plusieurs manières pour trouver les enregistrements exacts que vous recherchez. Les sections ci-dessous décrivent chaque méthode et présentent des exemples avec lesquels vous pouvez commencer pour vous familiariser.
Filtrer les résultats de l'enregistrement depuis le volet de gauche
Une fois que tous les enregistrements disponibles pour l'intervalle de temps que vous avez sélectionné apparaissent sur la page Enregistrements, vous pouvez filtrer depuis le volet de gauche pour affiner vos résultats.
![](/images/9.7/records-search-left-pane.png)
Le Type d'enregistrement Le menu déroulant affiche une liste de tous les types d' enregistrements que votre système ExtraHop est configuré pour collecter et stocker. Un type d'enregistrement détermine quelles données sont collectées et stockées dans l'espace de stockage des enregistrements.
Remarque : | Comme vous devez créer un déclencheur pour collecter des enregistrements, vous avez besoin d'un moyen d' identifier le type de données que vous allez collecter. Il existe des types d'enregistrement intégrés qui collectent tous les champs connus disponibles pour un protocole. Vous pouvez commencer avec un type d' enregistrement intégré (tel que HTTP) et créer un déclencheur pour ne collecter que les champs du protocole qui vous intéressent (tels que l'URI et le code dstatus). Les utilisateurs avancés peuvent également créer un type d'enregistrement personnalisé s'ils ont besoin de collecter des informations propriétaires qui ne sont pas disponibles via un type d'enregistrement intégré. |
Le Regrouper par La liste déroulante vous donne une liste de champs permettant de filtrer davantage le type d'enregistrement.
Le Affiner les résultats La section affiche une liste des filtres d'enregistrement courants pour le type d'enregistrement sélectionné avec le nombre d'enregistrements correspondant au filtre entre parenthèses.
Filtrer les résultats de l'enregistrement via le trifield
Cliquez sur l'icône en forme de crayon pour modifier un filtre existant ou cliquez sur le bouton Ajouter un
filtre avancé
pour ajouter
un nouveau filtre.
Dans le Nom d'affichage du filtre champ, vous pouvez spécifier un nom descriptif pour identifier l'objectif général de la requête.
Sélectionnez une option de critère dans le menu déroulant (l'option par défaut est Adresse IPv4), sélectionnez un opérateur (tel que le signe égal (=)), puis saisissez la valeur de recherche . Cliquez Ajouter un filtre, et le filtre est ajouté au-dessus de la barre de filtre.
![](/images/9.7/records-trifield-filter.png)
![](/images/9.7/records-trifield-server-tag.png)
Vos résultats n'affichent que les enregistrements correspondant au filtre.
Les opérateurs suivants peuvent être sélectionnés en fonction du nom du champ sélectionné :
Opérateur | Descriptif |
---|---|
= | Égaux |
≠ | N'est pas égal |
≈ | Inclut Si les enregistrements sont stockés sur un espace de stockage des enregistrements ExtraHop, l'opérateur includes fait correspondre les mots entiers délimités par des espaces et des signes de ponctuation. Par exemple, une recherche sur « www.extra » correspondrait à « www.extra.com » mais pas à « www.extrahop.com ». Pour toutes les autres librairies, l'opérateur includes fait correspondre les sous-chaînes, y compris les espaces et la ponctuation. Par exemple, une recherche pour « www.extra » correspondrait à « www.extrahop.com », mais une recherche pour « www extra » ne correspondrait pas à « www.extrahop.com ». Les caractères Regex et les caractères génériques ne sont pas pris en charge. |
≈/ | Exclut Si les enregistrements sont stockés sur un espace de stockage des enregistrements ExtraHop, l'opérateur d'exclusion fait correspondre les mots entiers délimités par des espaces et des signes de ponctuation. Par exemple, une recherche sur « extra » exclurait « www.extra.com » mais pas « www.extrahop.com ». Pour toutes les autres librairies, l'opérateur d'exclusion fait correspondre les sous-chaînes, y compris les espaces et la ponctuation. Par exemple, une recherche sur « www.extra » exclurait « www.extrahop.com », mais une recherche sur « www extra » n'exclurait pas « www.extrahop.com ». Les caractères Regex et les caractères génériques ne sont pas pris en charge. |
< | Moins de |
≤ | Inférieur ou égal à |
> | Plus grand que |
≥ | Supérieur ou égal à |
commence par | Commence par |
existe | Existe |
ne sort pas | N'existe pas |
Filtrer directement à partir des résultats de l'enregistrement
Vous pouvez sélectionner n'importe quelle entrée de champ affichée en mode tableau ou en affichage détaillé dans les résultats de votre enregistrement, puis cliquer sur l'opérateur contextuel pour ajouter le filtre. Les filtres sont affichés sous le résumé du graphique (à l'exception du champ de type d'enregistrement, qui est modifié dans le volet de gauche).
![](/images/9.7/records-results-filter.png)
Recherche d'enregistrements dans le système ExtraHop
- Tapez un terme de recherche dans le champ de recherche global en haut de l'écran et cliquez sur Rechercher des enregistrements pour lancer une recherche sur tous les enregistrements stockés.
- Sur la page de présentation de l'équipement, cliquez sur Enregistrements pour démarrer une requête filtrée par cet équipement.
- Sur la page de présentation d'un groupe déquipements, cliquez sur Afficher les enregistrements pour démarrer une requête filtrée en fonction de ce groupe déquipements.
- À partir d'une carte de détection, cliquez sur Afficher les enregistrements pour lancer une requête filtrée avec les transactions associées à la détection.
- Cliquez sur l'icône Records
à partir d'un widget graphique, comme illustré dans la figure suivante.
- Cliquez sur l'icône Records
à côté d'une métrique détaillée après avoir exploré une métrique de niveau supérieur. Par exemple, après avoir étudié les réponses HTTP par serveur, cliquez sur l'icône Enregistrements pour créer une requête pour les enregistrements contenant une adresse IP de serveur spécifique.
Nous vous remercions pour vos commentaires. Pouvons-nous vous contacter pour vous poser des questions complémentaires ?