ipv4ToNumber
ipv4ToNumber オペレータでインターネット プロトコル バージョン 4 (IPv4) IP アドレスをオクテット ピリオド区切りフォーマットから 10 進フォーマットに変換します。この 10 進フォーマットを使用すると、IP マスキングよりも IP アドレス間の比較が簡単になります。
構文
ipv4ToNumber(<ip_addr>) [as <field>]
ルール
- この関数への入力は、有効な IPv4 アドレス文字列でなければなりません。
例
IP アドレスのパースと数値への変換
次のクエリは、IP アドレスをパースして数値に変換してから、fields オペレータを使用して「ip」と「num」以外のすべてのフィールドを削除します。
_sourceCategory=service remote_ip
| parse "[remote_ip=*]" as ip
| ipv4ToNumber(ip) as num
| fields ip, num
結果は次のようになります。
単一ユーザの IP 範囲の検出
次のクエリは、ユーザごとの IP アドレスの数と IP 範囲を調べます。この情報から、他人のユーザ アカウントを乗っ取っている人物を特定できます。
_sourceCategory=service remote_ip
| parse "auth=User:*:" as user
| parse "[remote_ip=*]" as remote_ip
| ipv4ToNumber(remote_ip) as remote_ip_dec
| max(remote_ip_dec) as max_ip, min(remote_ip_dec) as min_ip, count_distinct(remote_ip_dec) as count_ips by user
| max_ip - min_ip as ip_range
| where ip_range > 0
| fields user, count_ips, ip_range
結果は次のようになります。
