CrowdStrike Falcon Event Streams 로그 수집

다음에서 지원:

이 문서에서는 Google Cloud Storage V2를 사용하여 CrowdStrike Falcon Event Streams 로그를 Google Security Operations에 수집하는 방법을 설명합니다. CrowdStrike Falcon Event Streams는 감지 이벤트, 감사 이벤트, 인증 활동, 인시던트 업데이트를 비롯한 Falcon 플랫폼의 보안 이벤트 데이터를 제공하는 실시간 스트리밍 API를 제공합니다. Event Streams API는 /sensors/entities/datafeed/v2 엔드포인트와의 영구 HTTP 연결을 사용하여 거의 실시간으로 이벤트를 푸시하며, 안정적인 전송을 위해 오프셋 기반 재개를 지원합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Cloud Storage API가 사용 설정된 GCP 프로젝트
  • GCS 버킷을 만들고 관리할 수 있는 권한입니다.
  • GCS 버킷의 IAM 정책을 관리할 수 있는 권한
  • Cloud Run 서비스, Pub/Sub 주제, Cloud Scheduler 작업을 만들 수 있는 권한
  • API 클라이언트를 만들 수 있는 권한이 있는 CrowdStrike Falcon Console에 대한 권한 액세스

Google Cloud Storage 버킷 만들기

  1. Google Cloud 콘솔로 이동합니다.
  2. 프로젝트를 선택하거나 새 프로젝트를 만듭니다.
  3. 탐색 메뉴에서 Cloud Storage> 버킷으로 이동합니다.
  4. 버킷 만들기를 클릭합니다.

  5. 다음 구성 세부정보를 제공합니다.

    설정 값
    버킷 이름 지정 전역적으로 고유한 이름 (예: cs-stream-logs)을 입력합니다.
    위치 유형 필요에 따라 선택 (리전, 이중 리전, 멀티 리전)
    위치 위치를 선택합니다 (예: us-central1).
    스토리지 클래스 Standard (자주 액세스하는 로그에 권장)
    액세스 제어 균일 (권장)
    보호 조치 선택사항: 객체 버전 관리 또는 보관 정책 사용 설정

  6. 만들기를 클릭합니다.

CrowdStrike Falcon API 액세스 구성

API 클라이언트 만들기

  1. CrowdStrike Falcon Console에 로그인합니다.
  2. 탐색 메뉴에서 지원 및 리소스 > 리소스 및 도구 > API 클라이언트 및 키로 이동합니다.
  3. API 클라이언트 만들기를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 클라이언트 이름: 설명이 포함된 이름 (예: Google SecOps Event Streams Integration)을 입력합니다.
    • 설명 (선택사항): 설명을 입력합니다 (예: API client for streaming events to GCS).
  5. API 범위 섹션에서 다음 권한을 선택합니다.
    • 이벤트 스트림: 읽기를 선택합니다 (스트리밍 API를 사용하려면 필요).
  6. 만들기를 클릭합니다.

API 사용자 인증 정보 기록

API 클라이언트를 만든 후 다음 사용자 인증 정보를 받습니다.

  • 클라이언트 ID: 32자 소문자 16진수 문자열입니다.
  • 클라이언트 보안 비밀번호: 40자 영숫자 문자열입니다.
  • 기준 URL: CrowdStrike API의 정규화된 도메인 이름 (예: api.crowdstrike.com 또는 api.us-2.crowdstrike.com)

중요: 클라이언트 보안 비밀을 즉시 복사하여 저장하세요. 이 코드는 한 번만 표시되며 나중에 검색할 수 없습니다.

리전 엔드포인트

CrowdStrike는 API 엔드포인트가 서로 다른 여러 리전에서 운영됩니다.

리전 기본 URL
US-1 api.crowdstrike.com
US-2 api.us-2.crowdstrike.com
EU-1 api.eu-1.crowdstrike.com
US-GOV-1 api.laggar.gcw.crowdstrike.com

중요: CrowdStrike Falcon Console 로그인 리전에 해당하는 기준 URL을 사용하세요.

권한 확인

API 클라이언트에 필요한 권한이 있는지 확인하려면 다음 단계를 따르세요.

  1. CrowdStrike Falcon Console에 로그인합니다.
  2. 지원 및 리소스 > 리소스 및 도구 > API 클라이언트 및 키로 이동합니다.
  3. 생성한 API 클라이언트를 찾아 이벤트 스트림 범위에 읽기 액세스가 표시되는지 확인합니다.

API 액세스 테스트

  • 통합을 진행하기 전에 사용자 인증 정보를 테스트하세요.

    CLIENT_ID="<your-client-id>"
CLIENT_SECRET="<your-client-secret>"
BASE_URL="https://api.crowdstrike.com"

# Get OAuth2 token
TOKEN=$(curl -s -X POST "${BASE_URL}/oauth2/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "client_id=${CLIENT_ID}&client_secret=${CLIENT_SECRET}" | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# Test Event Streams API access (discover available data feeds)
curl -s -H "Authorization: Bearer ${TOKEN}" \
  "${BASE_URL}/sensors/entities/datafeed/v2?appId=secops-test&format=flatjson"

성공적인 응답은 사용 가능한 각 스트림 파티션에 대해 dataFeedURL 및 sessionToken 필드가 있는 resources가 포함된 JSON 객체를 반환합니다.

Cloud Run 함수의 서비스 계정 만들기

Cloud Run 함수에는 GCS 버킷에 쓸 수 있고 Pub/Sub에 의해 호출될 수 있는 권한이 있는 서비스 계정이 필요합니다.

서비스 계정 만들기

  1. GCP 콘솔에서 IAM 및 관리자 > 서비스 계정으로 이동합니다.
  2. 서비스 계정 만들기를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: cs-stream-collector-sa을 입력합니다.
    • 서비스 계정 설명: Service account for Cloud Run function to collect CrowdStrike Event Streams logs를 입력합니다.
  4. 만들고 계속하기를 클릭합니다.
  5. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 다음 역할을 추가합니다.
    1. 역할 선택을 클릭합니다.
    2. 스토리지 객체 관리자를 검색하여 선택합니다.
    3. + 다른 역할 추가를 클릭합니다.
    4. Cloud Run 호출자를 검색하여 선택합니다.
    5. + 다른 역할 추가를 클릭합니다.
    6. Cloud Functions 호출자를 검색하여 선택합니다.
  6. 계속을 클릭합니다.
  7. 완료를 클릭합니다.

이러한 역할은 다음 작업에 필요합니다.

  • 스토리지 객체 관리자: GCS 버킷에 로그를 쓰고 상태 파일을 관리합니다.
  • Cloud Run 호출자: Pub/Sub가 함수를 호출하도록 허용
  • Cloud Functions 호출자: 함수 호출 허용

GCS 버킷에 IAM 권한 부여

GCS 버킷에 대한 쓰기 권한을 서비스 계정에 부여합니다.

  1. Cloud Storage> 버킷으로 이동합니다.
  2. 버킷 이름 (예: cs-stream-logs)을 클릭합니다.
  3. 권한 탭으로 이동합니다.
  4. 액세스 권한 부여를 클릭합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 주 구성원 추가: 서비스 계정 이메일 (예: cs-stream-collector-sa@PROJECT_ID.iam.gserviceaccount.com)을 입력합니다.
    • 역할 할당: 스토리지 객체 관리자 선택
  6. 저장을 클릭합니다.

Pub/Sub 주제 만들기

Cloud Scheduler가 게시하고 Cloud Run 함수가 구독할 Pub/Sub 주제를 만듭니다.

  1. GCP Console에서 Pub/Sub > 주제로 이동합니다.
  2. 주제 만들기를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 주제 ID: cs-stream-trigger를 입력합니다.
    • 다른 설정은 기본값으로 둡니다.
  4. 만들기를 클릭합니다.

로그를 수집하는 Cloud Run 함수 만들기

Cloud Run 함수는 Cloud Scheduler의 Pub/Sub 메시지에 의해 트리거되어 CrowdStrike Event Streams API에 연결하고, 이벤트를 사용하고, GCS에 작성합니다.

  1. GCP 콘솔에서 Cloud Run으로 이동합니다.
  2. 서비스 만들기를 클릭합니다.
  3. 함수를 선택합니다 (인라인 편집기를 사용하여 함수 만들기).

  4. 구성 섹션에서 다음 구성 세부정보를 입력합니다.

    설정 값
    서비스 이름 cs-stream-collector
    리전 GCS 버킷과 일치하는 리전을 선택합니다 (예: us-central1).
    런타임 Python 3.12 이상 선택

  5. 트리거 (선택사항) 섹션에서 다음을 수행합니다.

    1. + 트리거 추가를 클릭합니다.
    2. Cloud Pub/Sub를 선택합니다.
    3. Cloud Pub/Sub 주제 선택에서 cs-stream-trigger을 선택합니다.
    4. 저장을 클릭합니다.

  6. 인증 섹션에서 다음을 구성합니다.

    1. 인증 필요를 선택합니다.
    2. Identity and Access Management (IAM)을 확인합니다.

  7. 아래로 스크롤하고 컨테이너, 네트워킹, 보안을 펼칩니다.

  8. 보안 탭으로 이동합니다.

    • 서비스 계정: cs-stream-collector-sa를 선택합니다.

  9. 컨테이너 탭으로 이동합니다.

    1. 변수 및 보안 비밀을 클릭합니다.
    2. 각 환경 변수에 대해 + 변수 추가를 클릭합니다.
    변수 이름 예시 값 설명
    GCS_BUCKET cs-stream-logs GCS 버킷 이름
    GCS_PREFIX crowdstrike/stream 로그 파일의 접두사
    STATE_KEY crowdstrike/stream/state.json 상태 파일 경로
    CS_BASE_URL https://api.crowdstrike.com CrowdStrike API 기본 URL
    CS_CLIENT_ID your-client-id API 클라이언트 ID
    CS_CLIENT_SECRET your-client-secret API 클라이언트 보안 비밀번호
    CS_APP_ID secops-stream-collector 이벤트 스트림의 고유 앱 ID (영숫자 최대 32자)
    STREAM_TIMEOUT 300 스트림 읽기 제한 시간(초)
    MAX_RECORDS 10000 실행당 최대 레코드 수

  10. 변수 및 보안 비밀 섹션에서 요청까지 아래로 스크롤합니다.

    • 요청 제한 시간: 600초 (10분)를 입력합니다.

  11. 설정 탭으로 이동합니다.

    • 리소스 섹션에서 다음을 수행합니다.
      • 메모리: 512MiB 이상 선택
      • CPU: 1을 선택합니다.

  12. 버전 확장 섹션에서 다음을 수행합니다.

    • 최소 인스턴스 수: 0를 입력합니다.
    • 최대 인스턴스 수: 1를 입력합니다 (한 번에 하나의 스트림 소비자만 실행해야 함).

  13. 만들기를 클릭합니다.

  14. 서비스가 생성될 때까지 기다립니다 (1~2분).

  15. 서비스가 생성되면 인라인 코드 편집기가 자동으로 열립니다.

함수 코드 추가

  1. 진입점 필드에 main을 입력합니다.

  2. 인라인 코드 편집기에서 다음 두 파일을 만듭니다.

    • main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=5.0, read=30.0),
    retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'crowdstrike/stream')
STATE_KEY = os.environ.get('STATE_KEY', 'crowdstrike/stream/state.json')
CS_BASE_URL = os.environ.get('CS_BASE_URL', 'https://api.crowdstrike.com')
CS_CLIENT_ID = os.environ.get('CS_CLIENT_ID')
CS_CLIENT_SECRET = os.environ.get('CS_CLIENT_SECRET')
CS_APP_ID = os.environ.get('CS_APP_ID', 'secops-stream-collector')
STREAM_TIMEOUT = int(os.environ.get('STREAM_TIMEOUT', '300'))
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000'))

def get_oauth_token(base_url: str, client_id: str, client_secret: str) -> str:
    """Get CrowdStrike OAuth2 access token."""
    token_url = f"{base_url}/oauth2/token"
    body = f"client_id={client_id}&client_secret={client_secret}"
    response = http.request(
        'POST', token_url,
        body=body.encode('utf-8'),
        headers={'Content-Type': 'application/x-www-form-urlencoded'}
    )
    if response.status != 200:
        raise Exception(f"OAuth token request failed: {response.status}")
    data = json.loads(response.data.decode('utf-8'))
    return data['access_token']

def refresh_stream_session(base_url: str, token: str, app_id: str, partition: int = 0):
    """Refresh an active stream session to keep it alive."""
    refresh_url = (
        f"{base_url}/sensors/entities/datafeed-actions/v1/{partition}"
        f"?appId={app_id}&action_name=refresh_active_stream_session"
    )
    response = http.request(
        'POST', refresh_url,
        headers={
            'Authorization': f'Bearer {token}',
            'Content-Type': 'application/json',
        }
    )
    if response.status == 200:
        print("Stream session refreshed successfully")
    else:
        print(f"Warning: Stream session refresh returned {response.status}")

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch CrowdStrike
    Event Streams data and write to GCS.
    """

    if not all([GCS_BUCKET, CS_BASE_URL, CS_CLIENT_ID, CS_CLIENT_SECRET]):
        print('Error: Missing required environment variables')
        return

    try:
        bucket = storage_client.bucket(GCS_BUCKET)

        # Load state
        state = load_state(bucket, STATE_KEY)

        # Get OAuth token
        token = get_oauth_token(CS_BASE_URL, CS_CLIENT_ID, CS_CLIENT_SECRET)
        headers = {
            'Authorization': f'Bearer {token}',
            'Accept': 'application/json',
        }

        # Discover available data feeds
        discover_url = (
            f"{CS_BASE_URL}/sensors/entities/datafeed/v2"
            f"?appId={CS_APP_ID}&format=flatjson"
        )
        response = http.request('GET', discover_url, headers=headers)

        if response.status != 200:
            print(f"Failed to discover data feed: {response.status}")
            print(f"Response: {response.data.decode('utf-8')}")
            return

        feed_data = json.loads(response.data.decode('utf-8'))
        resources = feed_data.get('resources', [])

        if not resources:
            print("No data feed resources available")
            return

        feed_url = resources[0].get('dataFeedURL', '')
        session_token = resources[0].get(
            'sessionToken', {}
        ).get('token', '')

        if not feed_url or not session_token:
            print("Missing feed URL or session token")
            return

        # Build stream URL with offset if available
        stream_url = feed_url
        offset = state.get('offset')
        if offset:
            stream_url = f"{feed_url}&offset={offset}"

        # Connect to Event Stream
        stream_headers = {
            'Authorization': f'Token {session_token}',
            'Accept': 'application/json',
            'Connection': 'keep-alive',
        }

        stream_http = urllib3.PoolManager(
            timeout=urllib3.Timeout(
                connect=10.0, read=float(STREAM_TIMEOUT)
            ),
            retries=False,
        )

        print(f"Connecting to Event Stream...")
        resp = stream_http.request(
            'GET', stream_url,
            headers=stream_headers,
            preload_content=False
        )

        if resp.status != 200:
            print(f"Stream connection failed: {resp.status}")
            return

        records = []
        latest_offset = offset
        now = datetime.now(timezone.utc)

        for line in resp.stream(4096):
            decoded = line.decode('utf-8').strip()
            if not decoded:
                continue

            try:
                event = json.loads(decoded)
                records.append(event)

                event_offset = event.get(
                    'metadata', {}
                ).get('offset')
                if event_offset is not None:
                    latest_offset = event_offset

                if len(records) >= MAX_RECORDS:
                    print(
                        f"Reached max records limit ({MAX_RECORDS})"
                    )
                    break
            except json.JSONDecodeError:
                continue

        resp.release_conn()

        if not records:
            print("No new events found in stream.")
            # Refresh stream session to keep it alive
            refresh_stream_session(
                CS_BASE_URL, token, CS_APP_ID
            )
            return

        # Write to GCS as NDJSON
        timestamp = now.strftime('%Y%m%d_%H%M%S')
        object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
            [json.dumps(r, ensure_ascii=False) for r in records]
        ) + '\n'
        blob.upload_from_string(
            ndjson, content_type='application/x-ndjson'
        )

        print(
            f"Wrote {len(records)} records to "
            f"gs://{GCS_BUCKET}/{object_key}"
        )

        # Save state with latest offset
        new_state = {
            'offset': latest_offset,
            'last_run': now.isoformat()
        }
        save_state(bucket, STATE_KEY, new_state)

        # Refresh stream session to keep it alive
        refresh_stream_session(
            CS_BASE_URL, token, CS_APP_ID
        )

        print(f"Successfully processed {len(records)} events")

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def load_state(bucket, key):
    """Load state from GCS."""
    try:
        blob = bucket.blob(key)
        if blob.exists():
            state_data = blob.download_as_text()
            return json.loads(state_data)
    except Exception as e:
        print(f"Warning: Could not load state: {e}")
    return {}

def save_state(bucket, key, state: dict):
    """Save state to GCS."""
    try:
        blob = bucket.blob(key)
        blob.upload_from_string(
            json.dumps(state, indent=2),
            content_type='application/json'
        )
        print(f"Saved state: {state}")
    except Exception as e:
        print(f"Warning: Could not save state: {e}")

    requirements.txt:

    ```none
functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0
```

  3. 배포를 클릭하여 함수를 저장하고 배포합니다.

  4. 배포가 완료될 때까지 기다립니다 (2~3분).

Cloud Scheduler 작업 만들기

Cloud Scheduler는 일정 간격으로 Pub/Sub 주제에 메시지를 게시하여 Cloud Run 함수를 트리거합니다.

  1. GCP Console에서 Cloud Scheduler로 이동합니다.
  2. 작업 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    이름 cs-stream-collector-scheduled
    리전 Cloud Run 함수와 동일한 리전 선택
    주파수 */15 * * * * (15분마다)
    시간대 시간대 선택 (UTC 권장)
    타겟 유형 Pub/Sub
    주제 cs-stream-trigger 선택
    메일 본문 {} (빈 JSON 객체)

  4. 만들기를 클릭합니다.

통합 테스트

  1. Cloud Scheduler 콘솔에서 작업을 찾습니다.
  2. 강제 실행을 클릭하여 작업을 수동으로 트리거합니다.
  3. 몇 초 동안 기다립니다.
  4. Cloud Run > 서비스로 이동합니다.
  5. cs-stream-collector를 클릭합니다.
  6. 로그 탭을 클릭합니다.

  7. 함수가 성공적으로 실행되었는지 확인합니다. 다음 항목을 찾습니다.

    Connecting to Event Stream...
Wrote X records to gs://cs-stream-logs/crowdstrike/stream/logs_YYYYMMDD_HHMMSS.ndjson
Stream session refreshed successfully
Successfully processed X events

  8. Cloud Storage> 버킷으로 이동합니다.

  9. cs-stream-logs를 클릭합니다.

  10. crowdstrike/stream/ 폴더로 이동합니다.

  11. 현재 타임스탬프를 사용하여 새 .ndjson 파일이 생성되었는지 확인합니다.

로그에 오류가 표시되는 경우:

  • HTTP 401: 환경 변수에서 API 사용자 인증 정보 확인
  • HTTP 403: API 클라이언트에 이벤트 스트림: 읽기 범위가 있는지 확인
  • HTTP 429: 비율 제한 - 스케줄러 빈도를 조정하거나 STREAM_TIMEOUT 증가
  • 환경 변수 누락: 필수 변수가 모두 설정되었는지 확인
  • 사용 가능한 데이터 피드 리소스 없음: CS_APP_ID이 고유하고 영숫자 32자를 초과하지 않는지 확인합니다.

Google SecOps 서비스 계정 가져오기

Google SecOps는 고유한 서비스 계정을 사용하여 GCS 버킷에서 데이터를 읽습니다. 이 서비스 계정에 버킷 액세스 권한을 부여해야 합니다.

서비스 계정 이메일 가져오기

  1. SIEM 설정> 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: CrowdStrike Event Streams logs).
  5. 소스 유형으로 Google Cloud Storage V2를 선택합니다.
  6. 로그 유형으로 CrowdStrike Falcon 스트리밍을 선택합니다.
  7. 서비스 계정 가져오기를 클릭합니다.

  8. 고유한 서비스 계정 이메일이 표시됩니다(예:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 다음 단계에서 사용할 수 있도록 이 이메일 주소를 복사합니다.

  10. 다음을 클릭합니다.

  11. 다음 입력 매개변수의 값을 지정합니다.

    • 스토리지 버킷 URL: 다음 접두사 경로를 사용하여 GCS 버킷 URI를 입력합니다.

      gs://cs-stream-logs/crowdstrike/stream/

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다 (테스트에 권장).
      • 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.

      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다 (기본값은 180일).

    • 애셋 네임스페이스: 애셋 네임스페이스

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  12. 다음을 클릭합니다.

  13. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

Google SecOps 서비스 계정에 IAM 권한 부여

Google SecOps 서비스 계정에는 GCS 버킷에 대한 스토리지 객체 뷰어 역할이 필요합니다.

  1. Cloud Storage> 버킷으로 이동합니다.
  2. cs-stream-logs를 클릭합니다.
  3. 권한 탭으로 이동합니다.
  4. 액세스 권한 부여를 클릭합니다.
  5. 다음 구성 세부정보를 제공합니다.
    • 주 구성원 추가: Google SecOps 서비스 계정 이메일 붙여넣기
    • 역할 할당: 스토리지 객체 뷰어를 선택합니다.

  6. 저장을 클릭합니다.

도움이 더 필요하신가요?

Google Security Operations 피드에 대한 자세한 내용은 Google Security Operations 피드 문서를 참조하세요. 각 피드 유형의 요구사항은 유형별 피드 구성을 참고하세요.

참고로 CrowdStrike Falcon 이벤트 스트림 파서 문서를 참고하세요.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
event_data.AssociatedFile about.file.full_path 직접 매핑됨
event_data.IOCValue about.file.sha256 직접 매핑됨
ActivityId_label additional.fields 병합됨
ActivityOperatingSystem_label additional.fields 병합됨
ModelAnomalyIndicators_label additional.fields 병합됨
SourceEndpointIpReputation_label additional.fields 병합됨
SourceIpIspClassification_label additional.fields 병합됨
SourceIpIspDomain_label additional.fields 병합됨
additional_deviceCustomDate1 additional.fields 병합됨
additional_domainname additional.fields 병합됨
commands_label additional.fields 병합됨
data_domains_label additional.fields 병합됨
dns_request_domain_name_label additional.fields 병합됨
dns_request_type_label additional.fields 병합됨
dnsrequest_interface_index_label additional.fields 병합됨
dnsrequest_load_time_label additional.fields 병합됨
eventType additional.fields 매핑된 값 (총 8개, 예: "EppDetectionSummaryEvent","IdpDetectionSummaryEvent" → `file...
event_data_ContextTimeStamp_id_label additional.fields 병합됨
event_data_MobileDetectionId_id_label additional.fields 병합됨
field1 additional.fields 병합됨
fileaccessed_full_path_label additional.fields 병합됨
fileaccessed_timestamp_label additional.fields 병합됨
filewritten_full_path_label additional.fields 병합됨
filewritten_timestamp_label additional.fields 병합됨
reputation_label_list_values additional.fields 병합됨
sourceipasncode_label additional.fields 병합됨
sourceipasnorg_label additional.fields 병합됨
eventType extensions.auth.mechanism 매핑됨: "saml2Assert", "twoFactorAuthenticate" → mechanism
mechanism extensions.auth.mechanism 병합됨
eventType extensions.auth.type 매핑됨: "assert", "userAuthenticate" → AUTHTYPE_UNSPECIFIED
description metadata.description 직접 매핑됨
event_data.Description metadata.description 직접 매핑됨
incidentDescription metadata.description 직접 매핑됨
msg metadata.description 직접 매핑됨
name metadata.description 직접 매핑됨
serviceName metadata.description 직접 매핑됨
devTime metadata.event_timestamp yyyy-MM-dd HH:mm:ss로 파싱됨
deviceCustomDate1 metadata.event_timestamp MMM dd yyyy HH:mm:ss로 파싱됨
event_data.UTCTimestamp metadata.event_timestamp UNIX_MS로 파싱됨
meta.eventCreationTime metadata.event_timestamp UNIX_MS로 파싱됨
meta.event_dataCreationTime metadata.event_timestamp UNIX_MS로 파싱됨
timestamp metadata.event_timestamp UNIX_MS로 파싱됨
eventType metadata.event_type 매핑된 값 (총 6개, 예: "saml2Assert", "twoFactorAuthenticate" → USER_LOGIN, ` "r...
has_principal metadata.event_type 매핑됨: true → STATUS_UPDATE, true → SCAN_FILE
has_user metadata.event_type 매핑됨: false → GENERIC_EVENT
cid metadata.product_deployment_id 직접 매핑됨
eventType metadata.product_event_type 직접 매핑됨
event_data_simpleName metadata.product_event_type 직접 매핑됨
event_data.AgentId metadata.product_log_id 직접 매핑됨
id metadata.product_log_id 직접 매핑됨
product metadata.product_name 직접 매핑됨
meta.version metadata.product_version 직접 매핑됨
version metadata.product_version 직접 매핑됨
cs6 metadata.url_back_to_product 직접 매핑됨
url metadata.url_back_to_product 직접 매핑됨
vendor metadata.vendor_name 직접 매핑됨
connectionDirection network.direction 매핑됨: 0 → OUTBOUND, 1 → INBOUND
event_data.Attributes.request_method network.http.method 직접 매핑됨
event_data.FalconHostLink network.http.referral_url 직접 매핑됨
request network.http.referral_url 직접 매핑됨
event_data.Attributes.status_code network.http.response_code 직접 매핑됨
event_data.Attributes.user_agent network.http.user_agent 직접 매핑됨
protocol network.ip_protocol 매핑됨: 6 → TCP, 17 → UDP, 58 → ICMP
event_data.Attributes.trace_id network.session_id 직접 매핑됨
event_data.SessionId network.session_id 직접 매핑됨
value_issuer network.tls.server.certificate.issuer 직접 매핑됨
domain principal.administrative_domain 직접 매핑됨
event_data.DataDomains principal.administrative_domain 직접 매핑됨
event_data.SourceAccountDomain principal.administrative_domain 직접 매핑됨
event_data_ActivityBrowser principal.application 직접 매핑됨
aid principal.asset.asset_id 직접 매핑됨
event_data.AgentIdString principal.asset.asset_id 직접 매핑됨
event_data_SensorId principal.asset.asset_id 직접 매핑됨
ComputerName principal.asset.hostname 직접 매핑됨
endpointName principal.asset.hostname 직접 매핑됨
event_data.EndpointName principal.asset.hostname 직접 매핑됨
event_data.Hostname principal.asset.hostname 직접 매핑됨
event_data.HostnameField principal.asset.hostname 직접 매핑됨
event_data.SourceEndpointHostName principal.asset.hostname 직접 매핑됨
event_data_ComputerName principal.asset.hostname 직접 매핑됨
hostName principal.asset.hostname 직접 매핑됨
ClientIP principal.asset.ip 병합됨
LocalAddressIP4 principal.asset.ip 병합됨
aip principal.asset.ip 병합됨
event_data.EndpointIp principal.asset.ip 병합됨
event_data.LocalIP principal.asset.ip 병합됨
event_data.LocalIPv6 principal.asset.ip 병합됨
event_data.SourceEndpointIpAddress principal.asset.ip 병합됨
event_data.UserIp principal.asset.ip 병합됨
ip principal.asset.ip 병합됨
localAddress principal.asset.ip 병합됨
remoteAddress principal.asset.ip 병합됨
src principal.asset.ip 병합됨
event_data.MACAddress principal.asset.mac 병합됨
event_data_SensorId principal.asset_id 직접 매핑됨
ComputerName principal.hostname 직접 매핑됨
endpointName principal.hostname 직접 매핑됨
event_data.EndpointName principal.hostname 직접 매핑됨
event_data.Hostname principal.hostname 직접 매핑됨
event_data.HostnameField principal.hostname 직접 매핑됨
event_data.SourceEndpointHostName principal.hostname 직접 매핑됨
event_data_ComputerName principal.hostname 직접 매핑됨
hostName principal.hostname 직접 매핑됨
ClientIP principal.ip 병합됨
LocalAddressIP4 principal.ip 병합됨
aip principal.ip 병합됨
event_data.EndpointIp principal.ip 병합됨
event_data.LocalIP principal.ip 병합됨
event_data.LocalIPv6 principal.ip 병합됨
event_data.SourceEndpointIpAddress principal.ip 병합됨
event_data.UserIp principal.ip 병합됨
ip principal.ip 병합됨
localAddress principal.ip 병합됨
remoteAddress principal.ip 병합됨
src principal.ip 병합됨
event_data_LocationCountryCode principal.location.country_or_region 직접 매핑됨
event_data.MACAddress principal.mac 병합됨
srcMAC principal.mac 병합됨
event_data_platformName principal.platform 매핑됨: (?i)Linux → LINUX, (?i)Windows → WINDOWS, (?i)mac/ios → MAC
localPort principal.port 직접 매핑됨
exeWrittenFilePath principal.process.file.full_path 직접 매핑됨
event_data.ParentCommandLine principal.process.parent_process.command_line 직접 매핑됨
event_data.ParentImageFilePath principal.process.parent_process.file.full_path 직접 매핑됨
eventType principal.process.parent_process.file.names 매핑됨: "EppDetectionSummaryEvent","IdpDetectionSummaryEvent" → `event_data.ParentImageFil...
event_data.ParentImageFileName principal.process.parent_process.file.names 병합됨
event_data.ParentProcessId principal.process.parent_process.pid 직접 매핑됨
event_data.ProcessId principal.process.pid 직접 매핑됨
event_data.Attributes.assign_to_user_id principal.user.email_addresses 병합됨
event_data.SourceAccountUpn principal.user.email_addresses 병합됨
userName principal.user.email_addresses 매핑됨: ^.+@.+$ → userName
user_email principal.user.email_addresses 병합됨
eventType principal.user.group_identifiers 매핑됨: "EppDetectionSummaryEvent","IdpDetectionSummaryEvent" → event_data.LogonDomain
event_data.LogonDomain principal.user.group_identifiers 병합됨
event_data.Attributes.assign_to_name principal.user.user_display_name 직접 매핑됨
event_data.UserName principal.user.user_display_name 직접 매핑됨
event_data.SourceAccountName principal.user.userid 직접 매핑됨
event_data.UserId principal.user.userid 직접 매핑됨
userName principal.user.userid 직접 매핑됨
usrName principal.user.userid 직접 매핑됨
event_data.SourceAccountObjectSid principal.user.windows_sid 직접 매핑됨
_security_result security_result 병합됨
applicationName target.application 직접 매핑됨
event_data.Source target.application 직접 매핑됨
event_data_SsoApplicationIdentifier target.application 직접 매핑됨
serviceName target.application 직접 매핑됨
event_data.CompositeId target.asset.asset_id 직접 매핑됨
dhost target.asset.hostname 직접 매핑됨
event_data.TargetEndpointHostName target.asset.hostname 직접 매핑됨
IP target.asset.ip 병합됨
dst target.asset.ip 병합됨
event_data.IOCValue target.asset.ip 병합됨
event_data.TargetEndpointIpAddress target.asset.ip 병합됨
TargetFileName target.file.full_path 직접 매핑됨
event_data.FilePath target.file.full_path 직접 매핑됨
event_data.MD5String target.file.md5 직접 매핑됨
eventType target.file.names 매핑됨: "EppDetectionSummaryEvent","IdpDetectionSummaryEvent" → fileaccessed.FileName, `...
event_data.FileName target.file.names 병합됨
exeWrittenFileName target.file.names 병합됨
fileName target.file.names 병합됨
fileaccessed.FileName target.file.names 병합됨
filewritten.FileName target.file.names 병합됨
event_data.SHA1String target.file.sha1 직접 매핑됨
event_data.SHA256String target.file.sha256 직접 매핑됨
sha256 target.file.sha256 직접 매핑됨
Size target.file.size 직접 매핑됨
dhost target.hostname 직접 매핑됨
event_data.TargetEndpointHostName target.hostname 직접 매핑됨
IP target.ip 병합됨
dst target.ip 병합됨
event_data.IOCValue target.ip 병합됨
event_data.TargetEndpointIpAddress target.ip 병합됨
dpt target.port 이름이 변경됨/매핑됨
remotePort target.port 이름이 변경됨/매핑됨
cmdLine target.process.command_line 직접 매핑됨
commandLine target.process.command_line 직접 매핑됨
event_data.CommandLine target.process.command_line 직접 매핑됨
filePath target.process.file.full_path 직접 매핑됨
md5 target.process.file.md5 직접 매핑됨
event_data_itempostedtimestamp_label target.resource.attribute.labels 병합됨
event_data_itemtype_label target.resource.attribute.labels 병합됨
resource target.resource.name 직접 매핑됨
event_data_itemid target.resource.product_object_id 직접 매핑됨
eventType target.resource.type 매핑됨: "remove_group", "update_group" → GROUP, delete_group → GROUP
event_data.Attributes.request_path target.url 직접 매핑됨
eventType target.user.email_addresses 매핑됨: "saml2Assert", "twoFactorAuthenticate", "assert", "userAuthenticate" → user_email
user_email target.user.email_addresses 병합됨
usrName target.user.userid 직접 매핑됨
event_data.TargetEndpointAccountObjectSid target.user.windows_sid 직접 매핑됨
해당 사항 없음 extensions.auth.type 상수: AUTHTYPE_UNSPECIFIED
해당 사항 없음 metadata.event_type 상수: GENERIC_EVENT
해당 사항 없음 metadata.product_name 상수: FalconHost
해당 사항 없음 metadata.vendor_name 상수: CrowdStrike
해당 사항 없음 network.direction 상수: OUTBOUND
해당 사항 없음 network.ip_protocol 상수: TCP
해당 사항 없음 principal.platform 상수: LINUX
해당 사항 없음 target.resource.type 상수: GROUP

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.