明示的に追加する必要があります。ファイルパスのどこかに含まれる「conhost」という文字列を検索する場合、次の正規表現パターンを使用してクエリーを指定する必要があります。file.path:/.*conhost.*/同様に、末尾が「conhost.exe」のファイルパスを検索する場合は、次のパターンを使用してクエリーを入力する必要があります。file.path:/.*conhost\.exe/メモ:「.」は、正規表現の特殊文字であるため、「\」を使用してエスケープする必要があります。部分検索を実行します。「a」で始まるファイル名が返されます。一致結果を検出できません。いう名前のファイルがあるとします。検索すると結果が返されません。検索すると結果が返されます。実際は「set*.exe」を検索します。一致するものがあると、検索を中断して結果を返しません。絶対パスまたはワイルドカードパスを使用せずにファイル名を使用するエンドポイント検索をサポートしません。ハードディスクドライブ全体を対象に、検索条件に含まれるすべてのエンドポイントのワイルドカードパスとの一致を検索します。この種類の検索は、クライアントコンピュータのリソースを集中的に消費します。ベストプラクティスとして、検索を実行するエンドポイントの数を制限します。絶対パスを使用せずにファイル名を検索できます。以下の表は、特にエンドポイントアクティビティレコーダの検索に当てはまります。説明:このリストの各トークンは、等価や完全一致をサポートします。検索のみをサポートします。含まれるコンテンツの検索のみをサポートします。指定可能な処理は以下のとおりです。(受け入れる)指定可能な処理のリストについては、「概要」を参照してください。入力すると処理を検索できます。ターゲットで実行元が行った処理別のイベントの検索に使用できます。サポート対象の検索構文は以下のとおりです。等しいすべてのイベントを照合します。いずれかと等しいすべてのイベントを照合します。以外の処理タイプのイベントすべてを照合します。クイック検索トークンをサポートします。指定した値に基づいて短縮されたトークンを完全な検索トークンに変換できます。メモ:レジストリ、カーネルなどの他の人為的な痕跡とクイック検索フィールドを組み合わせないでください。以下の表で説明するように、クイック検索フィールドは展開されているため、クイック検索フィールドと他の人為的な痕跡を組み合わせると検索に失敗します。つのターゲットを処理することはできません。そのため、サポート対象外の式のエラーとして式全体が失敗します。以下のいずれかに変換されます。file.md5process.md5以下のいずれかに変換されます。演算子のみがサポートされます。path以下のいずれかに変換されます。target.file.pathtarget.directory.pathactor.process.pathtarget.process.pathtarget.service.path以下のいずれかに変換されます。file.pathprocess.pathservice.pathdirectory.path以下のいずれかに変換されます。file.pathsha2以下のいずれかに変換されます。target.file.sha2actor.process.sha2target.process.sha2target.module.sha2以下のいずれかに変換されます。file.sha2process.sha2以下のいずれかに変換されます。演算子のみがサポートされます。データの検索に使用できるスキーマを示します。どのトークンでどのスキーマがサポートされているかを確認するには、「トークン」を参照してください。指定可能な実行元は以下のとおりです。event_actor.file.pathまたはevent_actor.file.sha2target実行元による何らかの変更。指定可能なターゲット以下のとおりです。reg_keyreg_valuefiledirectoryprocessmodulesessionkernel_objectnetworkresult実行元がターゲットを変更した後の何かの更新状態。actionターゲットで実行する処理のアレイ。アレイ内の処理の一致を返します。指定可能な処理は以下のとおりです。サポートされる条件演算子を示します。ハッシュ検索のみでサポートされます。/regex_to_match/XXこの演算子は、正規表現をサポートする「トークン」でのみ使用できます。ハッシュの検索時に「does_not_equal」演算子または「-」文字を使用すると、大量の結果が生成される可能性があります。エンドポイントが当該ハッシュと一致しないすべてのファイルの結果を返すためです。そのため、除外ハッシュを除いてディスク上のほぼすべてのファイルを照合してしまう可能性があります。ファイルベースの他の属性と組み合わせると最も効果的です。ファイルパスクエリーと一緒にファイルハッシュに「not_equals」を使用すると、エンドポイントはハッシュ値で除外されたファイルを除き、その特定のファイルパスのファイルすべてを返します。後方参照クエリーの例は以下のとおりです。1.0ANDXX同じ種類の人為的な痕跡と一緒に使用する場合にのみサポートされます。<462EE52​A6C5ABC​4C54749​2B8B569​B78AまたはXXXワイルドカード説明:以下の表の「Q」は「任意の有効なクエリー」を意味します。"HKEY_LOCAL_MACHINE\​Software\Microsoft\Windows​\CurrentVersion\Run\*"当該レジストリキーのすべての値を返します。各トークンがサポートされます。以降では完全な結果が返されます。含むファイルを返します。各トークンがサポートされます。以降では完全な結果が返されます。検索クエリーでサポートされない構文値を示します。「A」が以下のいずれかの場合、フルダンプのクエリーをサポートしません。購読すると、この記事が更新されたときに更新内容が配信されます。Response4.0この記事は役に立ちましたか?はいいいえご意見ありがとうございます。以下にコメントがある場合はお知らせください。chat.CancelConfirm。