新しい送信ホスト接続
Sophos Linux Sensor の接続イベントをクエリすることで、新しい送信トラフィックを表示できます。クエリは、過去 24時間に検出された新しい送信ホスト接続を返します。
必要なテーブル
- connections
戻りフィールド
| フィールド | 説明 |
|---|---|
| dst_addr | アクセスされたアドレス |
| occurrences | 回数 |
| dt | 平均アクセス日時 |
クエリ
SELECT dst_addr,
COUNT(1) as occurrences,
FROM_UNIXTIME(AVG(unix_nano_timestamp)/1e9) as dt
FROM connections b
WHERE (
SELECT COUNT(1)
FROM connections a
WHERE a.dst_addr = b.dst_addr and a.unix_nano_timestamp < TO_UNIXTIME(NOW()) * 1e9 - 60*60*24*1e9) = 0
GROUP BY dst_addr