Trellix (이전 명칭: FireEye) 알림 로그 수집

파서 버전: 10.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 Bindplane 에이전트를 사용하여 Trellix (이전 명칭: FireEye) 알림 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Trellix는 지능형 위협, 악성코드, 제로데이 익스플로잇을 탐지하는 네트워크 보안 플랫폼입니다. 탐지된 위협, 악성 활동, 보안 이벤트에 대한 알림 로그를 CEF, JSON, XML 형식으로 생성합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
• Bindplane 에이전트와 Trellix 어플라이언스 간의 네트워크 연결
• 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
• 관리자 권한으로 Trellix 어플라이언스에 대한 권한 액세스

Google SecOps 수집 인증 파일 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 수집 에이전트로 이동합니다.

3. 데이터 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

   참고: 이 JSON 파일에는 Bindplane 에이전트를 Google SecOps에 인증하기 위한 사용자 인증 정보가 포함되어 있습니다.

Google SecOps 고객 ID 가져오기

1. Google SecOps 콘솔에 로그인합니다.
2. SIEM 설정 > 프로필로 이동합니다.

3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

   참고: Bindplane 에이전트 내보내기를 구성하려면 고객 ID가 필요합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

2. 다음 명령어를 실행합니다.

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sc query observiq-otel-collector
   

   서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

1. 루트 또는 sudo 권한으로 터미널을 엽니다.

2. 다음 명령어를 실행합니다.

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 설치가 완료될 때까지 기다립니다.

4. 다음을 실행하여 설치를 확인합니다.

   sudo systemctl status observiq-otel-collector
   

   서비스가 활성 (실행 중)으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

구성 파일 설정

• config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/fireeye_alert:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: FIREEYE_ALERT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/fireeye_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/fireeye_alert
  

구성 매개변수

다음 자리표시자를 바꿉니다.

수신기 구성:

• tcplog: 프로토콜 기반 수신기 유형:
  • UDP syslog의 udplog
  • TCP syslog의 경우 tcplog
• 0.0.0.0: 리슨할 IP 주소입니다.
  • 0.0.0.0: 모든 인터페이스에서 수신 대기 (권장)
  • 하나의 인터페이스에서 수신 대기할 특정 IP 주소
• 514: 수신할 포트 번호입니다 (예: 514, 1514, 6514).

내보내기 도구 구성:

• fireeye_alert: 내보내기 도구의 설명 이름
• creds_file_path: 수집 인증 파일의 전체 경로입니다.
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• <customer_id>: 이전 단계의 고객 ID
• endpoint: 지역 엔드포인트 URL:
  • 미국: malachiteingestion-pa.googleapis.com
  • 유럽: europe-malachiteingestion-pa.googleapis.com
  • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
  • 전체 목록은 리전 엔드포인트를 참고하세요.
• FIREEYE_ALERT: Google SecOps에 표시되는 로그 유형
• ingestion_labels: YAML 형식의 선택적 라벨 (예: env: production)

파이프라인 구성:

• fireeye_to_chronicle: 파이프라인의 설명 이름

구성 파일 저장

• 수정 후 파일을 저장합니다.
  • Linux: Ctrl+O, Enter, Ctrl+X 순으로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

• Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

  sudo systemctl restart observiq-otel-collector
  

  1. 서비스가 실행 중인지 확인합니다.

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. 로그에서 오류를 확인합니다.

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.

  • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 서비스 콘솔:

    1. Win+R 키를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
    2. observIQ OpenTelemetry Collector를 찾습니다.
    3. 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.

    4. 서비스가 실행 중인지 확인합니다.

       ```cmd
       sc query observiq-otel-collector
       ```
       

    5. 로그에서 오류를 확인합니다.

       ```cmd
       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       ```
       

FireEye syslog 전달 구성

FireEye (Trellix) 어플라이언스는 경보를 rsyslog 알림으로 전달합니다. 어플라이언스 웹 UI 또는 어플라이언스 명령줄 인터페이스에서 구성합니다. 두 방법 모두 동일한 결과를 생성하므로 운영 모델에 적합한 방법을 사용하세요.

참고: 이 로그 유형의 Google SecOps 파서는 CEF, JSON, 키-값 syslog 메시지를 읽습니다. 알림 형식으로 CEF (권장) 또는 JSON을 선택합니다. 파서에는 LEEF, CSV 또는 XML 처리가 포함되어 있지 않습니다. 텍스트도 적합하지 않습니다. 파서의 syslog 패턴과 일치하지 않고 키-값 쌍이 없는 메시지는 지원되지 않는 것으로 간주되어 삭제되기 때문입니다.

방법 1: 웹 UI를 사용하여 rsyslog 알림 구성

1. 관리자 또는 운영자 액세스 권한이 있는 계정으로 FireEye 어플라이언스 웹 UI에 로그인합니다.
2. 설정 > 알림으로 이동합니다.
3. RSYSLOG 탭을 선택합니다.
4. 선택사항: Rsyslog 설정 영역에서 기본값으로 구성된 서버가 상속하는 값을 설정한 다음 설정 적용을 클릭합니다.
   • 기본 형식: CEF를 선택합니다.
   • 기본 전송: 이벤트별을 선택합니다.
   • 기본 보내기 주소: 알림을 선택합니다.
5. Rsyslog 서버 보기 및 추가에서 Rsyslog 서버 추가를 클릭합니다.
6. 다음 구성 세부정보를 제공합니다.
   • 서버 이름: 항목의 설명이 포함된 이름을 입력합니다 (예: secops-bindplane).
   • IP 주소: Bindplane 에이전트 호스트의 IP 주소를 입력합니다 (예: 192.168.1.100).
   • 사용 설정: 어플라이언스가 이 서버로 알림을 전송하도록 체크박스를 선택합니다.
   • 전송: 알림이 생성될 때마다 알림을 보내려면 이벤트별을 선택합니다.
   • 알림: 모든 이벤트를 선택하거나 전달할 특정 알림 유형을 선택합니다.
   • 형식: CEF를 선택합니다. JSON을 선택하는 경우 세부정보 수준도 Normal(일반), Concise(간결), Extended(확장) 중에서 선택합니다.
   • 전송 방식: 알림을 선택합니다.
   • 프로토콜: 이전에 구성한 tcplog 수신기와 일치하도록 TCP를 선택합니다. 수신기를 udplog로 변경한 경우에만 어플라이언스 기본값인 UDP를 선택합니다.

7. 새 Rsyslog 서버 추가를 클릭합니다.

   참고: 웹 UI에는 포트 설정이 없습니다. 어플라이언스는 표준 syslog 포트 (514)로 알림을 전송하므로 Bindplane 에이전트 수신기가 포트 514에서 리슨하도록 구성합니다. 다른 포트를 사용하려면 방법 2에 설명된 대로 fenotify rsyslog trap-sink <sink_name> port <port_number>를 사용하여 CLI에서 설정하세요.

방법 2: CLI를 사용하여 rsyslog 알림 구성

1. 관리자 또는 운영자 액세스 권한이 있는 계정으로 FireEye 어플라이언스 명령줄 인터페이스에 로그인합니다.

2. 구성 모드로 진입합니다.

   hostname > enable
   hostname # configure terminal
   

3. rsyslog 알림을 활성화합니다.

   hostname (config) # fenotify rsyslog enable
   

4. Bindplane 에이전트의 트랩 싱크를 만들고 사용 설정합니다.

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable
   

   참고: 트랩 싱크 이름은 대상 위치를 식별하는 공백이 없는 짧은 라벨입니다. 이후의 모든 명령어에서 동일한 이름을 재사용합니다.

5. 대상 주소, 전송 프로토콜, 포트를 설정합니다.

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
   

   • <BINDPLANE_IP>: Bindplane 에이전트 호스트의 IP 주소 또는 도메인 이름입니다.
   참고: 이전에 구성된 tcplog 수신기와 일치하도록 tcp를 사용하거나 수신기를 udplog로 변경한 경우 udp를 사용합니다. port를 수신기가 수신하는 포트로 설정합니다.

6. 메시지 형식, 전송 일정, 심각도를 설정합니다.

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
   

   • prefer message format: cef를 사용합니다. JSON의 경우 json-normal, json-concise 또는 json-extended을 사용합니다. csv, leef, text-, xml- 값은 사용하지 마세요.
   • prefer message delivery: 이벤트가 트리거될 때 per-event을 사용하여 각 이벤트에 관한 정보를 전송합니다.
   • prefer message send-as: 심각도 1인 alert을 사용합니다.

7. 이 트랩 싱크에 대한 알림을 생성할 알림을 선택합니다.

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
   

   • all-events: 리스크웨어를 제외한 모든 이벤트
   • all-riskware: riskware-object 및 riskware-callback 이벤트입니다.
   • 개별 유형: IPS 지원 어플라이언스의 경우 domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection, ips-event

8. 구성을 저장합니다.

   hostname (config) # write memory
   

구성 확인

1. 활성 rsyslog 설정을 검토하려면 사용 설정 모드에서 다음 명령어를 실행합니다.

   hostname # show fenotify rsyslog
   

   출력에는 전역 구성 값, 사용 설정된 알림 유형, 서버별 소비자 값이 표시됩니다.

2. 웹 UI에서 테스트 이벤트를 생성하려면 설정 > 알림으로 이동하여 표 아래의 드롭다운 목록에서 이벤트 유형을 선택한 다음 테스트 실행을 클릭합니다.

3. CLI에서 테스트 이벤트를 생성하려면 구성 모드에서 다음 명령어를 실행합니다.

   hostname (config) # fenotify test-fire <EVENT_TYPE>
   

4. Bindplane 에이전트 호스트가 메시지를 수신하는지 확인한 다음 이벤트가 Google SecOps에 표시되는지 확인합니다.

   참고: 중앙 관리 (CM) 어플라이언스로 관리되는 배포에서는 CM 어플라이언스에서 rsyslog 알림을 구성할 수 있습니다. 자세한 내용은 웹 UI를 사용하여 rsyslog 서버 설정을 참고하세요.
   참고: Trellix Endpoint Security (HX) 어플라이언스에서는 동일한 설정 > 알림 > rsyslog 페이지가 사용되지만 레이아웃이 다릅니다. 이벤트 유형 체크박스를 선택하고, Rsyslog 서버 추가 열에 서버 이름을 입력하고, Rsyslog 서버 추가를 클릭하고, IP 주소 열에 주소를 입력한 다음 업데이트를 클릭합니다. 자세한 내용은 Trellix Endpoint Security (HX) 구성을 참고하세요.

이 단계에서 따르는 공급업체 절차는 웹 UI를 사용하여 시스템 로그 서버 추가, CLI를 사용하여 시스템 로그 서버 추가, CLI를 사용하여 시스템 로그 서버 알림 맞춤설정, IPS 이벤트 알림 테스트를 참고하세요. 모든 fenotify rsyslog 명령어의 전체 문법과 허용되는 값은 CLI 명령어 참조를 참고하세요.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
additional_source	additional.fields	병합됨
appliance_id_label	additional.fields	병합됨
appliance_id_label_2nd	additional.fields	병합됨
appliance_label	additional.fields	병합됨
begin_label	additional.fields	병합됨
cache_control_label	additional.fields	병합됨
channel_label	additional.fields	병합됨
content_length_label	additional.fields	병합됨
content_type_label	additional.fields	병합됨
cost_label	additional.fields	병합됨
end_label	additional.fields	병합됨
match_count_label	additional.fields	병합됨
msg_label	additional.fields	병합됨
success_label	additional.fields	병합됨
dvc	intermediary.asset.hostname	직접 매핑됨
dvc	intermediary.asset.ip	병합됨
msg	intermediary.email	직접 매핑됨
dvc	intermediary.hostname	직접 매핑됨
sensor	intermediary.hostname	직접 매핑됨
dvc	intermediary.ip	병합됨
intermediary_host	intermediary.labels	병합됨
dvcmac	intermediary.mac	병합됨
desc	metadata.description	직접 매핑됨
description	metadata.description	직접 매핑됨
name	metadata.description	직접 매핑됨
alert.occurred	metadata.event_timestamp	yyyy-MM-dd HH:mm:ss.SSS로 파싱됨
end	metadata.event_timestamp	MMM dd yyyy HH:mm:ss ZZZ로 파싱됨
rt	metadata.event_timestamp	MMM dd yyyy HH:mm:ss ZZZ로 파싱됨
start	metadata.event_timestamp	MMM dd yyyy HH:mm:ss ZZZ로 파싱됨
event_type	metadata.event_type	매핑됨: filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P…
event_type1	metadata.event_type	직접 매핑됨
file_event_subtype	metadata.event_type	매핑됨: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info	metadata.event_type	매핑됨: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	매핑됨: true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type	metadata.event_type	매핑됨: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type	metadata.product_event_type	직접 매핑됨
type	metadata.product_event_type	직접 매핑됨
externalId	metadata.product_log_id	직접 매핑됨
product	metadata.product_name	직접 매핑됨
version	metadata.product_version	직접 매핑됨
applicationProtocol	network.application_protocol	직접 매핑됨
ver_proto	network.application_protocol	매핑됨: HTTP/1.1 → HTTP
alert.src.smtp-mail-from	network.email.from	직접 매핑됨
mails	network.email.to	병합됨
httpmethod	network.http.method	직접 매핑됨
method	network.http.method	직접 매핑됨
urlMonitorEvent_urlMethod	network.http.method	직접 매핑됨
User-Agent	network.http.parsed_user_agent	이름이 변경됨/매핑됨
http_user_agent	network.http.parsed_user_agent	이름이 변경됨/매핑됨
Referer	network.http.referral_url	직접 매핑됨
urlMonitorEvent_requestUrl	network.http.referral_url	직접 매핑됨
User-Agent	network.http.user_agent	직접 매핑됨
http_user_agent	network.http.user_agent	직접 매핑됨
urlMonitorEvent_userAgent	network.http.user_agent	직접 매핑됨
alert.explanation.cnc-services.cnc-service.protocol	network.ip_protocol	직접 매핑됨
alert.explanation.protocol	network.ip_protocol	직접 매핑됨
ver_proto	network.tls.version_protocol	직접 매핑됨
devicePayloadId	principal.application	직접 매핑됨
process	principal.application	직접 매핑됨
principal_hostname	principal.asset.hostname	직접 매핑됨
sourceDnsDomain	principal.asset.hostname	직접 매핑됨
agent_info.primary_ip_address	principal.asset.ip	병합됨
alert.src.ip	principal.asset.ip	병합됨
host_name	principal.asset.ip	직접 매핑됨
source_info.ip	principal.asset.ip	병합됨
src	principal.asset.ip	병합됨
src_ip	principal.asset.ip	병합됨
type	principal.asset.ip	매핑됨: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability	principal.asset.vulnerabilities	병합됨
path	principal.file.full_path	직접 매핑됨
alert.explanation.os-changes.file.processinfo.md5sum	principal.file.md5	직접 매핑됨
alert.explanation.os-changes.file.processinfo.sha1sum	principal.file.sha1	직접 매핑됨
filesize	principal.file.size	직접 매핑됨
Host	principal.hostname	직접 매핑됨
principal_hostname	principal.hostname	직접 매핑됨
sourceDnsDomain	principal.hostname	직접 매핑됨
agent_info.primary_ip_address	principal.ip	병합됨
alert.src.ip	principal.ip	병합됨
host_name	principal.ip	직접 매핑됨
source_info.ip	principal.ip	병합됨
src	principal.ip	병합됨
src_ip	principal.ip	병합됨
type	principal.ip	매핑됨: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan	principal.labels	병합됨
country	principal.location.country_or_region	직접 매핑됨
agent_info.primary_mac	principal.mac	병합됨
alert.src.mac	principal.mac	병합됨
appliance-id	principal.mac	병합됨
smac	principal.mac	병합됨
os_platform	principal.platform	매핑됨: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, `"mac","…
os_kernel_version	principal.platform_patch_level	직접 매핑됨
alert.explanation.os-changes.osinfo	principal.platform_version	직접 매핑됨
alert.src.port	principal.port	직접 매핑됨
src_port	principal.port	직접 매핑됨
alert.explanation.os-changes.file.processinfo.ppid	principal.process.parent_process.pid	직접 매핑됨
alert.explanation.os-changes.file.processinfo.pid	principal.process.pid	직접 매핑됨
process_id	principal.process.pid	직접 매핑됨
id	principal.resource.id	직접 매핑됨
email	principal.user.email_addresses	매핑됨: ^.+@.+$ → email
s_result	security_result	병합됨
sec_result	security_result	병합됨
alert_smtp_header	security_result.about.labels	병합됨
alert_smtp_last_malware	security_result.about.labels	병합됨
alert_smtp_queue_id	security_result.about.labels	병합됨
alert_smtp_subject	security_result.about.labels	병합됨
endpoint_type_label	security_result.about.labels	병합됨
type	security_result.about.labels	매핑됨: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type…
proto	security_result.about.network.application_protocol	직접 매핑됨
http_method	security_result.about.network.http.method	직접 매핑됨
alert.smtp-message.id	security_result.about.resource.id	직접 매핑됨
alert.src.url	security_result.about.url	직접 매핑됨
temp_url	security_result.about.url	직접 매핑됨
action	security_result.action	병합됨
alert.action	security_result.action_details	직접 매핑됨
threat_attribution	security_result.action_details	직접 매핑됨
category	security_result.category	병합됨
category_details	security_result.category_details	병합됨
group	security_result.category_details	병합됨
indicator.category	security_result.category_details	병합됨
type	security_result.category_details	매핑됨: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act	security_result.description	직접 매핑됨
indicator.name	security_result.description	직접 매핑됨
ack_field	security_result.detection_fields	병합됨
analysis_field	security_result.detection_fields	병합됨
attack_mode_label	security_result.detection_fields	병합됨
build_field	security_result.detection_fields	병합됨
bytes_available_label	security_result.detection_fields	병합됨
chunk_id_label	security_result.detection_fields	병합됨
chunk_len_label	security_result.detection_fields	병합됨
chunks_label	security_result.detection_fields	병합됨
classtype_label	security_result.detection_fields	병합됨
cn1_label	security_result.detection_fields	병합됨
cnc_service_type	security_result.detection_fields	병합됨
cs1_label	security_result.detection_fields	병합됨
cs3_label	security_result.detection_fields	병합됨
cs4_label	security_result.detection_fields	병합됨
data_label	security_result.detection_fields	병합됨
detection_infection_type	security_result.detection_fields	병합됨
display_msg_label	security_result.detection_fields	병합됨
dpt_label	security_result.detection_fields	병합됨
flex_string1_Label	security_result.detection_fields	병합됨
flex_string1_label	security_result.detection_fields	병합됨
flex_string2_Label	security_result.detection_fields	병합됨
flex_string2_label	security_result.detection_fields	병합됨
header	security_result.detection_fields	병합됨
id_field	security_result.detection_fields	병합됨
job_id_label	security_result.detection_fields	병합됨
mode_field	security_result.detection_fields	병합됨
mvx_status_label	security_result.detection_fields	병합됨
qid_label	security_result.detection_fields	병합됨
request_label	security_result.detection_fields	병합됨
retroactive_field	security_result.detection_fields	병합됨
sc_version_field	security_result.detection_fields	병합됨
sequence_field	security_result.detection_fields	병합됨
sig_id_label	security_result.detection_fields	병합됨
sig_name_label	security_result.detection_fields	병합됨
sig_revision_label	security_result.detection_fields	병합됨
spt_label	security_result.detection_fields	병합됨
sub_id_label	security_result.detection_fields	병합됨
tests_downloaded_at_field	security_result.detection_fields	병합됨
tests_executed_at_field	security_result.detection_fields	병합됨
tests_name_field	security_result.detection_fields	병합됨
tests_original_field	security_result.detection_fields	병합됨
tests_sha512_field	security_result.detection_fields	병합됨
tests_sid_field	security_result.detection_fields	병합됨
tests_stype_field	security_result.detection_fields	병합됨
tests_submitted_at_field	security_result.detection_fields	병합됨
tests_type_field	security_result.detection_fields	병합됨
tid_label	security_result.detection_fields	병합됨
timestamp_field	security_result.detection_fields	병합됨
url_field	security_result.detection_fields	병합됨
value_field	security_result.detection_fields	병합됨
written_size_label	security_result.detection_fields	병합됨
alert.uuid	security_result.rule_id	직접 매핑됨
alert.version	security_result.rule_version	직접 매핑됨
severity	security_result.severity	매핑됨: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H…
action_taken	security_result.summary	직접 매핑됨
risk_summary	security_result.summary	직접 매핑됨
alert.id	security_result.threat_id	직접 매핑됨
alert.name	security_result.threat_name	직접 매핑됨
ele.infection.infection-name	security_result.threat_name	직접 매핑됨
threat_name	security_result.threat_name	직접 매핑됨
alert.alert-url	security_result.url_back_to_product	직접 매핑됨
url	security_result.url_back_to_product	직접 매핑됨
dst_hostname	target.asset.hostname	직접 매핑됨
dvchost	target.asset.hostname	직접 매핑됨
target_hostname	target.asset.hostname	직접 매핑됨
alert.dst.ip	target.asset.ip	병합됨
dst	target.asset.ip	병합됨
dst_ip	target.asset.ip	병합됨
urlMonitorEvent_remoteIpAddress	target.asset.ip	병합됨
alert.explanation.os-changes.file.processinfo.imagepath	target.file.full_path	직접 매핑됨
file_fullpath	target.file.full_path	직접 매핑됨
fname	target.file.full_path	직접 매핑됨
agent_info.md5values	target.file.md5	직접 매핑됨
ele.action.actioned-object.file-object.md5sum	target.file.md5	직접 매핑됨
file_md5	target.file.md5	직접 매핑됨
fileType	target.file.mime_type	직접 매핑됨
ele.action.actioned-object.file-object.sha1sum	target.file.sha1	직접 매핑됨
ele.action.actioned-object.file-object.sha256sum	target.file.sha256	직접 매핑됨
fileHash	target.file.sha256	직접 매핑됨
file_size	target.file.size	직접 매핑됨
fsize	target.file.size	직접 매핑됨
dst_hostname	target.hostname	직접 매핑됨
dvchost	target.hostname	직접 매핑됨
target_hostname	target.hostname	직접 매핑됨
alert.dst.ip	target.ip	병합됨
dst	target.ip	병합됨
dst_ip	target.ip	병합됨
urlMonitorEvent_remoteIpAddress	target.ip	병합됨
alert.explanation.cnc-services.cnc-service.location	target.location.country_or_region	직접 매핑됨
alert.dst.mac	target.mac	병합됨
dmac	target.mac	병합됨
alert.dst.port	target.port	직접 매핑됨
dst_port	target.port	이름이 변경됨/매핑됨
urlMonitorEvent_remotePort	target.port	직접 매핑됨
cmd	target.process.command_line	직접 매핑됨
ele.action.actioned-object.file-object.file-path	target.process.file.full_path	직접 매핑됨
file_event_filepath	target.process.file.full_path	직접 매핑됨
process_event_process_path	target.process.file.full_path	직접 매핑됨
process_path	target.process.file.full_path	직접 매핑됨
urlMonitorEvent_processPath	target.process.file.full_path	직접 매핑됨
md5sum_data	target.process.file.md5	직접 매핑됨
process_md5	target.process.file.md5	이름이 변경됨/매핑됨
sha1_data	target.process.file.sha1	직접 매핑됨
sha256_data	target.process.file.sha256	직접 매핑됨
file_event_actor_process_path	target.process.parent_process.file.full_path	직접 매핑됨
parent_process_path	target.process.parent_process.file.full_path	직접 매핑됨
process_event_parent_path	target.process.parent_process.file.full_path	직접 매핑됨
file_event_actor_process_pid	target.process.parent_process.pid	직접 매핑됨
parent_process_pid	target.process.parent_process.pid	직접 매핑됨
process_event_parentPid	target.process.parent_process.pid	직접 매핑됨
alert.explanation.os-changes.file.processinfo.tid	target.process.pid	직접 매핑됨
process_event_pid	target.process.pid	직접 매핑됨
process_pid	target.process.pid	직접 매핑됨
urlMonitorEvent_pid	target.process.pid	직접 매핑됨
scanned_registry_key	target.registry.registry_key	직접 매핑됨
scanned_registry_value	target.registry.registry_value_data	직접 매핑됨
customer_id	target.resource.id	직접 매핑됨
alert.explanation.cnc-services.cnc-service.url	target.url	직접 매핑됨
email	target.user.email_addresses	매핑됨: ^.+@.+$ → email
tar_email	target.user.email_addresses	병합됨
file_event_actor_process_username	target.user.user_display_name	직접 매핑됨
process_event_username	target.user.user_display_name	직접 매핑됨
urlMonitorEvent_username	target.user.user_display_name	직접 매핑됨
해당 사항 없음	metadata.event_type	상수: GENERIC_EVENT
해당 사항 없음	metadata.product_name	상수: FIREEYE_ALERT
해당 사항 없음	metadata.vendor_name	상수: FIREEYE_ALERT
해당 사항 없음	network.application_protocol	상수: SMTP
해당 사항 없음	principal.platform	상수: WINDOWS
해당 사항 없음	security_result.about.resource.type	상수: Email
해당 사항 없음	security_result.confidence	상수: HIGH_CONFIDENCE
해당 사항 없음	security_result.severity	상수: LOW

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.