qradar - 使用 API 的 IBM QRadar 搜索事件

Question

我想知道是否可以使用 IBM QRadar API 搜索事件。请以下面的屏幕截图为例。

在上面的图像中，当我们点击搜索按钮时，我们将克服文本栏中包含文本的事件。我想在 API 的帮助下做同样的事情。请帮忙。

Answer 1

我找到了我的问题的答案-

要通过 QRadar API 获取负载或事件信息，首先使用搜索 API 获取搜索 ID

 curl --location --request POST 'https://qradar-2.as.local/api/ariel/searches?query_expression=select%20payload%20from%20events%20WHERE%20UTF8%28payload%29%20ILIKE%20%27%25xyz-xyzzyx-07.xy.as.local-51995-596966-1%25%27%20START%20%272020-08-21%2004%3A00%27%20STOP%20%272020-08-21%2006%3A00%27%20' \
--header 'Version: 12.0' \
--header 'Accept: application/json' \
--header 'SEC: {{your token here}}' \
--header 'Cookie: JSESSIONID=F988AE8612EDF61A67249876B783CEA7'

然后在下面的 API 中使用这个搜索 ID

    curl --location --request GET 'https://qradar-2.as.local/api/ariel/searches/{{search_id}}/results' \
--header 'Range: items=0-49' \
--header 'Version: 12.0' \
--header 'Accept: application/json' \
--header 'SEC: {{your token here}}' \
--header 'Cookie: JSESSIONID=E6568B30B3615UUIUD5672AB56578F9E66'

现在这个 API 的响应将被 base64 编码，所以你可以访问任何站点进行解码。例如。https://www.base64decode.org/

希望这会帮助人们