4-8 ワークフローアクションの作成と使用

1. ワークフローアクションとは

ワークフローアクション(Workflow Action)とは、サーチ結果のイベントやフィールド値を起点に、 外部サイトへのリンクを開いたり、別のサーチへ遷移したりできる機能です。 イベントの詳細を開いたときに現れるメニューから実行でき、 調査やトリアージの際に「この値を別のツールで調べたい」「この条件で掘り下げたい」を 数クリックで行えるようになります。

2. 3種類のアクション

ワークフローアクションには、大きく分けて次の3種類があります。

たとえばGETリンクでは、イベントに含まれるIPアドレスを WHOIS検索のURLに渡し、その場で外部の検索結果を開くといった使い方ができます。

3. フィールド値の埋め込み

アクションの定義では、URLやサーチ文字列の中に $フィールド名$ と書くことで、 クリックしたイベントのフィールド値をそのまま埋め込むことができます。

たとえば、clientipをWHOIS検索に渡すGETリンクなら、リンク先URLを次のように設定します。

https://example.com/whois?ip=$clientip$

サーチタイプでは、埋め込んだ値を使った新しいサーチを実行できます。 たとえば、選んだイベントと同じclientipのアクセスだけを一覧するサーチです。

index=web clientip="$clientip$" | stats count by uri_path

アクションは特定のフィールドやイベントタイプ、ソースタイプに適用範囲を限定できます。関係のないイベントにメニューが出ないようにでき、画面がすっきりします。

4. 設定方法

ワークフローアクションは「設定 > フィールド > ワークフローアクション」から作成します。 種類(GETリンク・POSTリンク・サーチ)、リンク先URLやサーチ文字列、 メニューに表示するラベル、開き方(同じウィンドウ/新しいウィンドウ)などを指定します。

外部サイトへのGET/POSTリンクでは、フィールド値がそのままURLやパラメータに含まれます。機微な情報を外部へ送らないよう、渡す値と連携先には注意しましょう。

5. まとめ

• ワークフローアクションは結果を起点に外部リンクや別サーチへ遷移する機能
• 種類はGETリンク・POSTリンク・サーチの3つ
• $フィールド名$ でクリックしたイベントのフィールド値を埋め込める
• 設定は「設定 > フィールド > ワークフローアクション」、調査・トリアージの効率化に役立つ