Эмуляция белого списка диапазона CIDR в Azure Sentinel

Есть ли способ использовать диапазон CIDR в кусто? приведенный ниже код работает, только если я удалю /24..

let whiteList = dynamic (["192.168.2.0/24", "192.168.1.0/24"]);  // setup a whitelist of range IP
OfficeActivity
| where Operation == "MailboxLogin" 
| where ClientIP in (whiteList)
| summarize count=count() by UserId

любое решение, пожалуйста?

2 ответа

Вы можете использовать это:

let WhiteList= @'^192\.168\.1|^192\.168\.2'; // put your internal networks
OfficeActivity
| where Operation == "MailboxLogin" 
| extend IswhiteList = iff(ClientIP matches regex WhiteList,"whiteList" ,"none" )
| where IswhiteList == "whiteList"
| summarize count=count() by UserId

Взгляните на parse_ipv4()

https://docs.microsoft.com/en-us/azure/kusto/query/parse-ipv4function

Похоже, он должен делать то, что вам нужно.

Дополнительные функции IPv4 перечислены здесь:

https://docs.microsoft.com/en-us/azure/data-explorer/kusto/query/scalarfunctions

Другие вопросы по тегам