OR演算子は、指定された値のいずれかに一致するイベントを検索するために必要です。クエリは次のようになります。
event_simpleName=ProcessRollup2 FileName=net.exe OR FileName=ipconfig.exe OR FileName=whoami.exe OR演算子は、複数の検索語句または式を組み合わせて、少なくとも1つに一致するイベントを返すために使用されます。IN、NOT、AND演算子は、それぞれ機能と意味が異なるため、このクエリには適していません。

Falconの脅威ハンティングの手がかりとは、Falconプラットフォーム内で脅威ハンティング活動を開始または誘導するために使用できる情報のことです。一時ディレクトリから1文字のファイル名（例：a.exe）のプロセス実行を示す通常の脅威ハンティングクエリは、Falconの脅威ハンティングの手がかりの一例です。これは、Falconのデータと機能を使用してさらに調査できる潜在的な悪意のある活動を示す可能性があるためです。セキュリティアプライアンスのログ、ヘルプデスクのチケット、外部レポートは、Falconプラットフォームやデータに直接関連していないため、Falconの脅威ハンティングの手がかりの例ではありません。

rename コマンドは、table、chart、stats などの変換コマンドを使用する際にフィールド名を変更するために使用します。変換コマンドの後に使用し、AS キーワードで古いフィールド名と新しいフィールド名を指定できます。クエリで正しいフィールド名を使用している限り、フィールド名を変更してもサブクエリや統計分析には影響しません。renamed キーワードとフィールド名の後に目的の名前を指定する方法は、フィールド名を変更する有効な方法ではありません。

競合仮説分析は、複数の仮説を比較検討し、最も有力な（優先順位の高い）仮説を決定するための構造化された分析手法です。この手法では、考えられるすべての仮説を列挙し、それぞれの仮説の根拠となる証拠と前提条件を特定し、それらの証拠と前提条件の一貫性と信頼性を評価し、最後に、それらの証拠と前提条件に基づいて各仮説の妥当性を評価します。

ParentProcessld_decimal イベント フィールドは、クラウド対応イベント データに含まれていれば、プロセス タイムライン イベント詳細テーブルの Parent Process ID 列と Parent File 列に自動的に入力される値です。ParentProcessld_decimal イベント フィールドは、対象プロセスの親プロセスのプロセス識別子を 10 進数で表したものです。このフィールドは、プロセスの履歴を追跡し、潜在的な悪意のあるアクティビティを特定するために使用できます。ContextProcessld_decimal、RawProcessld_decimal、および RpcProcessld_decimal イベント フィールドは、Parent Process ID 列と Parent File 列への入力には使用されません。