在 Osquery 查询中使用占位符字段

您可以使用占位符字段动态将此数据传递到查询中，而不是将警报和事件值硬编码到 Osquery 查询中。占位符字段的功能类似于参数。您可以使用占位符字段构建灵活且可重用的查询。

占位符字段在单个查询或查询包中起作用。它们还在以下功能中受支持

占位符字段语法和要求编辑

占位符字段使用mustache 语法，并且必须用双花括号括起来（{{example.field}}）。您可以使用事件或警报文档中的任何字段作为占位符字段。

带有占位符字段的查询只能针对警报或事件运行。否则，它们将缺少必要的价值，并且查询状态将为 error。

带占位符字段的示例查询编辑

以下查询使用 {{host.name}} 占位符字段

SELECT * FROM os_version WHERE name = `{{host.os.name}}`

运行查询时，存储在警报或事件的 host.name 字段中的值将传输到 {{host.os.name}} 占位符字段。