是否有任何 api 来获取 QRadar 中特定攻击的事件详细信息

Question

我正在探索一个 api，它可以获取 QRadar 中特定攻击的事件详细信息。我可以使用 ariel 端点过滤与特定攻击相关的事件，但无法获取特定事件的深入细节。我的 api 自动化使用需要它，请放心。

Answer 1

如果您通过 API 执行 AQL 搜索以获取与攻击关联的事件，您可以直接指定要在结果中获取事件的哪些字段。

AQL 示例

SELECT qidname(qid) as 'eventname', logsourcename(logsourceid) as 'log source', dateformat(starttime, 'YYYY-MM-dd HH:mm'), username
FROM events
WHERE INOFFENSE(123456)
LAST 10 days

此搜索返回事件名称、日志源名称、时间戳和用户名。这些字段都应该可以在 API 返回的 JSON 中访问。