更新时间：2022-12-20
一般安全运营工程师调查主要关注安全事件、安全告警。日志检索专家模式一般用于查询某些调查线索原始日志信息，比如查询协议审计日志、安全事件溯源等。需要用到日志检索查询原始日志时根据需要查询的字段进行过滤。
1.查询主机访问其他主机445端口日志
| ❕Tips |
| filter 源IP = "10.10.10.10" and 目的端口 = "445" |
2.搜索攻击者IP发起攻击状态为尝试以及失败相关日志
| ❕Tips |
| filter 源IP like "201.12.*" and 攻击状态 in { "尝试", "失败" } |
3.搜索文件MD5值跟a31b5d相关日志
| ❕Tips |
| filter 文件MD5 like "a31b5d*" |
建议使用Chrome浏览器访问！
