コンテナの影響を受けたファイルの検索

コンテナイメージが侵害された場合や既知のバグがある場合、Sophos Linux Sensor の調査のクエリを実行して、侵害されたコンテナによる被害を特定できます。クエリは、そのコンテナイメージの名前に関連付けられているすべてのファイルイベントを返します。

必要なテーブル

• file_events
• container_events

入力フィールド

クエリ内の <KNOWN IMAGE NAME> テキストは、「疑わしいイメージの名前」 で置き換えてください。

戻りフィールド

クエリ

SELECT unix_nano_timestamp,
         path,
         source_path,
         file_events.process_uuid
FROM file_events
WHERE EXISTS
    (SELECT container_id
    FROM container_events
    WHERE image_name = '<KNOWN IMAGE NAME>')