🔍 MEQL是复杂之眼EDR的专有查询语言，专为快速调查和分析终端行为而设计。

📊 终端安全状态评估依赖于对终端上运行的软件和用途的了解。产生大量遥测数据的终端通常威胁指数较高。

🌐 通过MEQL，可以查询全量终端DNS请求数据。例如，使用`SimpleName IN Contains ("DNS 请求",)`可以快速获取DNS请求记录。

💻 针对特定进程的DNS请求查询，可以使用`ProcessName IN Contains ("BarClientView.exe",) AND SimpleName Contains "DNS 请求"`这样的MEQL规则。

📜 MEQL也支持查询终端脚本代码块执行记录。`SimpleName Contains "脚本代码块执行记录"`可以查询所有脚本执行记录。

🛡️ 若要查询特定进程的脚本代码块执行记录，可以使用如`ProcessName IN Contains ("sdiagnhost.exe",) AND SimpleName Contains "脚本代码块执行记录"`的MEQL规则。

2024-07-03 20:13 广东

MEQL是复杂之眼的专有的查询语言，分享一些MEQL查询规则，通过复杂之眼EDR提供的MEQL威胁狩猎页面，用

MEQL是复杂之眼的专有的查询语言，分享一些MEQL查询规则，通过复杂之眼EDR提供的MEQL威胁狩猎页面，用户可以快速灵活地调查各种行为的详细信息，从而更深入的进行威胁分析和威胁调查。

个人理解评估一台终端的安全状态要看终端上跑了什么软件和用途，如果一台终端产生大量遥测数据说明这台终端是存在很多噪音的威胁指数明显高于一些比较产生少量遥测数据的终端机器。

比如通过MEQL查询， 全量查询终端DNS请求数据。

SimpleName IN Contains ("DNS 请求",)

可以看到全量查询终端DNS请求数据记录。

DNS请求数据详情。

如何查询一些软件exe进程跑了DNS请求数据，可以通过下面MEQL规则查询BarClientView.exe进程DNS请求数据。

ProcessName IN Contains ("BarClientView.exe",) AND SimpleName Contains "DNS 请求" 

MEQL全量查询终端脚本代码块执行记录。

SimpleName Contains "脚本代码块执行记录"

可以看到全量查询终端脚本代码块执行记录。

可以看到什么时间什么软件跑了什么powershell脚本都出来了。

如何查询一些软件exe进程跑了脚本代码块执行记录，可以通过下面MEQL规则查询sdiagnhost.exe进程脚本代码块。

ProcessName IN Contains ("sdiagnhost.exe",) AND SimpleName Contains "脚本代码块执行记录"

阅读原文

跳转微信打开