[Cortex XDR/XSIAM]グローバルIPアドレスの位置情報を地図に表示する - iplocとview

[massaito]

この記事では、iploc,viewというstageコマンドを使用して、グローバルIPアドレスの位置情報を地図にする

方法について説明します。

Live communityで掲載したApache HTTPサーバーのAccessログを取り込み、その後ログをパースする方法、

に続く記事となりますので、事前に読んでいただけると理解が深まるかと思います。

パースされたAccessログのアクセス元のIPアドレスの位置情報を使って、

HTTPサーバーがどの国・地域からアクセスされているのかを可視化します。

ちなみにここで紹介するiplocコマンド、viewコマンドはCortex XDR Pro per Endpointライセンスでも使用可能です。

iplocとは？

iplocを使用すると、IPアドレス(IPv4)の位置情報に関する属性を返します。

viewとは？

viewを使用すると、特定のフィールドをハイライトしたり、グラフでデータを可視化することができます。

ここではグラフを作成するモードで使用しますが、グラフに使用するX軸のフィールド、

Y軸として使用するフィールドをあらかじめ検討しておく必要があります。

XQLを作成する

以前の記事で、accessログをパースして、remote_ipというアクセス元のグローバルIPアドレスのフィールドを作成しました。

まず、このremote_ipを重複排除(dedup)し１つのフィールドだけにして(fields)、iplocコマンドで位置情報を取得します(iploc)。

その後remote_ipを位置情報のloc_country単位で集計し(comp count)、remote_ipの集計値をソートします(sort)。

以下のXQLはそれを表現したものです。

dataset=apache_httpserver_raw
| dedup remote_ip
| fields remote_ip
| iploc remote_ip loc_city , loc_continent ,loc_country ,loc_latlon ,loc_region ,loc_timezone
| comp count (remote_ip) as number_of_ip by loc_country
| sort desc number_of_ip

実行すると、以下のような結果が得られると思います。

viewコマンドを使ってmapにする

上のXQLにgraphコマンド(青字)を追加します。graphコマンドはXQLのUI上から追加することも可能です。

typeでmapを指定し、X軸をloc_country、Y軸をremote_ipの集計値とします。

dataset=apache_httpserver_raw
| dedup remote_ip
| fields remote_ip
| iploc remote_ip loc_city , loc_continent ,loc_country ,loc_latlon ,loc_region ,loc_timezone
| comp count (remote_ip) as number_of_ip by loc_country
| sort desc number_of_ip
| view graph type = map xaxis = loc_country yaxis = number_of_ip default_limit = `false`

XQLのUIから追加する場合、Query Resultsのタブから「Graph」を選択し、

Char EditorのGraph Typeから「Map」を、DataのX-axisに「loc_country」、Y-axsisに「number_of_ip」を

選択すると、

以下のように地図に集計値がプロットされます。

Chart Editorの「Add to Query」をクリックすると、

XQLにクエリが差し込まれます。このクエリを保存したり、Widget Libraryに追加して

ダッシュボードなどで再利用可能にすることができます。

クラウドサービスプロバイダーのVirtual Private Cloudのフローログのデータや、

SaaSアプリケーションのログデータに含まれるパブリックIPアドレスを使用して

アクセス傾向を分析するケースで役立つかもしれません。

Tech Doc

iplocコマンドの詳細はこちら

viewコマンドの詳細はこちら