Bedingungen in Elasticsearch API kombinieren

Question

Wie kann ich in Wazuh (Elasticsearch API) Bedingungen kombinieren so das ich z.B alle Eintrage finde in denen das Wort "xxx" im Feld "data.win.eventdata.targetusername" vorkommt aber gleichzeitig darf das Wort "Kerberos" nicht im Feld "data.win.eventdata.authenticationPackageName" vorkommen.

Answer 1

Du kannst in Wazuh (bzw. Elasticsearch) eine Kombination aus must und must_not verwenden, indem du eine bool Abfrage erstellst. 

GET /_search
{
  "query": {
    "bool": {
      "must_not": [
        {
          "match": {
            "data.win.eventdata.authenticationPackageName": "Kerberos"
          }
        }
      ],
      "must": [
        {
          "match": {
            "data.win.eventdata.targetUserName": "xxx"
          }
        }
      ]
    }
  }
}