iT邦幫忙

第 12 屆 iThome 鐵人賽

DAY 25
0
Elastic Stack on Cloud

Hey~有聽說資安跟ELK有一腿嗎?系列 第 25

Day25 Elasticsearch我們直接上系列!將搜尋的項目加一點重要性

Hello大家~
連假第二天,
好想一直在家當馬鈴薯噢!!
可惜沒有辦法QQ

今天提一下關於搜尋的部分增加一點權重可以讓結果更符合我們的需求,
比如說,我在查IP有三個條件,
第一個是C&C的網址、懷疑有問題的IP,
C&C很明確有連過就等同於有問題的機器,
另外有些是懷疑但並不確定,
所以以這個角度來看,
C&C的重要程度一定會大於懷疑的IP,
所以在搜尋的時候就會希望有C&C優先展現出來,
這時候我們就可以用Boosting來協助處理這件事情,
用法也相當簡單只要加入^就可以了,
比如說

q=[filed1]:[value1]^2+[field2]:[value2]

舉例來說

q=dstIp:http://www.{BLOCKED}c.dynssl.com^2+srcIp:10.190.10.3

這樣子的寫法前面的條件其重要性就是為兩倍的意思。


上一篇
Day24 Elasticsearch我們直接上系列!預設的運算符設定
下一篇
Day26 深入解析Elasticsearch Query DSL Fuzzy query
系列文
Hey~有聽說資安跟ELK有一腿嗎?30
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言