규칙 및 감지 쿼리

다음에서 지원:

이 문서는 다양한 보안 사용 사례에서 가시성을 제공하도록 설계된 사전 정의된 대시보드인 선별된 대시보드를 사용하여 위협 환경과 시스템 상태를 모니터링하려는 보안 운영 센터 (SOC) 관리자 및 분석가를 대상으로 합니다. 이 문서에서는 SOAR 케이스 소스 유형에 대해 선별된 대시보드와 기본 쿼리를 제공합니다.

이러한 쿼리는 쿼리 편집기에서 사용하거나 맞춤 위젯의 기준으로 사용할 수 있습니다. 대시보드를 만들고 관리하는 방법은 대시보드 관리를 참고하세요.

대시보드 이름 설명 차트 이름 쿼리
ISO 27001 – 기술적 관리 규정 준수 및 데이터 기반 수정 조치를 지원하기 위해 기술적 제어 및 암호화 표준에 대한 가시성을 제공합니다.
참고: 필터를 적용하여 데이터를 미세 조정합니다.		 데이터 소스별 알림 추세 
$Date = timestamp.get_date(detection.created_time.seconds)

match:
    $Date

outcome:
    $Count = count(detection.id)

order:
    $Date desc
ISO 27001 – 기술적 관리 규정 준수 및 데이터 기반 수정 조치를 지원하기 위해 기술적 제어 및 암호화 표준에 대한 가시성을 제공합니다.
참고: 필터를 적용하여 데이터를 미세 조정합니다.		 상위 10개 고위험 애셋 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.hostname != ""
detection.collection_elements.references.event.metadata.product_name != ""
detection.collection_elements.references.event.principal.ip != ""

$Hostname = detection.collection_elements.references.event.principal.hostname
$IP_Address = detection.collection_elements.references.event.principal.ip
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Hostname, $IP_Address, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc

limit:
    10
Chrome Enterprise Premium 보안 개요 민감한 정보 전송, 멀웨어 시도, 비밀번호 보안 문제 등 Chrome 관련 보안 이벤트에 대한 실시간 통계를 제공합니다. Chrome 위험 선별 감지 규칙 팩의 감지 
detection.detection.ruleset_category_display_name = "Chrome Enterprise Premium Threats"

$Rule_Name = detection.detection.rule_name
$User = strings.coalesce(detection.detection.outcomes["victim_name"], detection.detection.outcomes["victim_netid"], detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses)
$Hostname = strings.coalesce(detection.detection.outcomes["hostname"], detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.product_object_id)
$IP = strings.coalesce(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.about.ip)
$Severity = detection.detection.severity
$File = strings.coalesce(detection.collection_elements.references.event.target.file.full_path, detection.collection_elements.references.event.target.resource.name, detection.collection_elements.references.event.target.url, detection.detection.outcomes["url"])
$Risk_Score = detection.detection.outcomes["risk_score"]
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name

match:
    $User, $Rule_Name, $Hostname, $IP, $File, $Risk_Score, $Severity, $Threat_Name

outcome:
    $Description = array_distinct(detection.detection.description)
    $Count = count(detection.id)

order:
    $Severity, $Count desc
클라우드 키 관리 개요 보안 비밀 및 인증서를 비롯한 Cloud Key 관리에 대한 중앙 집중식 가시성을 제공합니다. 이러한 통계를 사용하여 수명 주기 변경사항을 추적하고 승인되지 않은 활동을 감지합니다. 시간 경과에 따른 알림 
detection.detection.ruleset_category_display_name = "Cloud Threats"
detection.detection.alert_state = "ALERTING"
detection.detection.rule_name = /Secrets|Key|KMS/ nocase

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
  $Date, $Rule_Name

outcome:
  $Count = count(detection.id)

order:
  $Date desc
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 시간 경과에 따른 감지 추세 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$date = timestamp.get_date(detection.created_time.seconds)
match:
$date
outcome:
$event_count = count(detection.id)
order:
$date asc
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 관한 유용한 정보를 제공합니다. 카테고리별 감지 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$category = detection.collection_elements.references.event.security_result.category
match:
$category
outcome:
$event_count = count(detection.id)
order:
$event_count desc
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 심각도별 탐지 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$severity = detection.collection_elements.references.event.security_result.severity
match:
$severity
outcome:
$event_count = count(detection.id)
order:
$event_count desc
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 상위 애셋 위치 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$resource = detection.collection_elements.references.event.target.resource.name
$location = detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region
match:
$location
outcome:
$event_count = count($resource)
$latitude = max(detection.collection_elements.references.event.principal.ip_geo_artifact.location.region_latitude)
$longitude = max(detection.collection_elements.references.event.principal.ip_geo_artifact.location.region_longitude)
order:
$event_count desc
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 영향을 받는 상위 10개 리소스 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /AWS|GCP|AZURE/
$targeted_resources = detection.collection_elements.references.event.target.resource.name
$targeted_resources != ""
match:
$targeted_resources
outcome:
$event_count = count($targeted_resources)
order:
$event_count desc
limit : 10
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 상위 10개 탐지 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$rule_name = detection.detection.rule_name
$rule_name != ""
match:
$rule_name
outcome:
$event_count = count(detection.id)
order:
$event_count desc
limit:
10
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 상위 10명의 트리거 사용자 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$user= detection.collection_elements.references.event.principal.user.userid
$user != ""
match:
$user
outcome:
$event_count = count(detection.collection_elements.references.event.metadata.id)
order:
$event_count desc
limit:
10
클라우드 보안 상황 개요 Google Cloud, AWS, Azure 전반에서 주요 측정항목을 추적하여 클라우드 보안 상황에 대한 유용한 정보를 제공합니다. 탐지 카테고리별 심각도 분포 
$log_type = detection.collection_elements.references.event.metadata.log_type
$log_type = /GCP|AWS|AZURE/
$category = detection.collection_elements.references.event.security_result.category
$severity = detection.collection_elements.references.event.security_result.severity
match:
$severity,$category
outcome:
$event_count = count(detection.id)
order:
$event_count desc
Cloud Storage 서비스 개요 팀이 알림을 모니터링하고 데이터 무결성을 유지할 수 있도록 클라우드 스토리지 활동 및 권한 변경사항에 대한 가시성을 제공합니다. 이러한 유용한 정보를 사용하여 상위 사용자를 추적하고 비정상적인 액세스 패턴을 식별하세요. 시간 경과에 따른 알림 
detection.detection.ruleset_category_display_name = "Cloud Threats"
(detection.tags = /T1530|T1567.002/
or detection.detection.rule_name = /storage|blob|bucket/ nocase)
detection.detection.alert_state = "ALERTING"

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
  $Date, $Rule_Name

outcome:
  $Count = count(detection.id)

order:
  $Date desc
데이터 수집 및 상태 팀이 데이터 흐름 문제를 신속하게 파악할 수 있도록 수집 처리량과 오류 수를 표시합니다. 이러한 측정항목을 사용하여 로그 분포를 모니터링하고 운영 안정성을 보장하세요. 규칙 
$a = rules.name
match: $a
GDPR 데이터 거버넌스 액세스 추세, EU 외 액세스 시도, 상위 지리적 위치 등 EU 지역 전반의 데이터 액세스에 대한 가시성을 제공합니다. GDPR 규정 준수를 모니터링하고, 무단 데이터 액세스를 감지하고, EU 데이터의 안전한 처리를 보장하는 데 도움이 됩니다. 참고: 관련 결과를 표시하려면 필터를 적용하세요. 사용자별 비정상적인 데이터 전송 
strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region, detection.collection_elements.references.event.principal.location.name)
  = /Austria|Belgium|Bulgaria|Croatia|Cyprus|Czechia|Denmark|Estonia|Finland|France|Germany|Greece|Hungary|Ireland|Italy|Latvia|Lithuania|Luxembourg|Malta|Netherlands|Poland|Portugal|Romania|Slovakia|Slovenia|Spain|Sweden|eu-(west-1|west-3|central-1|north-1|south-1|south-2)|europe-(west1|west3|west4|west8|west9|west10|west12|central2|north1|north2|southwest1)|austriaeast|denmarkeast|francecentral|germanywestcentral|greececentral|italynorth|northeurope|spaincentral|swedencentral|westeurope|polandcentral/ nocase

$Rule_Set = detection.detection.rule_set
$Rule_Set = "Anomalous Total Bytes by User"
$Employee_Name = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses)
$Employee_ID = detection.collection_elements.references.event.principal.user.employee_id
$Empolyee_Namespace = detection.collection_elements.references.event.principal.namespace

match:
   $Employee_Name ,$Employee_ID, $Empolyee_Namespace,  $Rule_Set

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count Desc
IAM 보안 운영 일일 모니터링을 위한 대략적인 개요입니다. 실시간 이상치, 능동적 위협, 고위험 이벤트에 중점을 두어 신속한 사고 감지 및 대응을 지원합니다. 사용 가능한 필터를 사용하여 필요에 따라 결과를 좁힙니다. 시간 경과에 따른 IAM 알림 
detection.detection.rule_set_display_name = "Admin Action"
or detection.detection.rule_set_display_name = "Potential Workspace Account Compromise"
or detection.detection.rule_set_display_name = "Suspicious Workspace Administrative Actions"
or detection.detection.rule_set_display_name = "AWS - Identity"
or detection.detection.rule_set_display_name = "AWS - Organization"
or detection.detection.rule_set_display_name = "Azure - Identity"
or detection.detection.rule_set_display_name = "Azure - Organization"
or detection.detection.rule_set_display_name = "IAM Abuse"
or detection.detection.rule_set_display_name = "New Login by User to Device"
or detection.detection.rule_set_display_name = "Anomalous Authentication Events by User"
or detection.detection.rule_set_display_name = "Failed Authentications by Device"
or detection.detection.rule_set_display_name = "Failed Authentications by User"
or detection.detection.rule_set_display_name = "Anomalous Inbound Bytes by User"
or detection.detection.rule_set_display_name = "Anomalous Total Bytes by User"
or detection.detection.rule_set_display_name = "Brute Force then Successful Login by User"
or detection.detection.rule_set_display_name = "Anomalous or Excessive Logins for a Newly Created User"
or detection.detection.rule_set_display_name = "Anomalous or Excessive Suspicious Actions for a Newly Created User"
or detection.detection.rule_set_display_name = "Excessive Alerts by User"
detection.detection.alert_state = "ALERTING"

$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name

match:
    $Date, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Date desc
ISO 27001 - 조직 관리 ISO 27001 표준을 기반으로 조직의 보안 관리 및 규정 준수 실적에 대한 가시성을 제공합니다. 감사 결과를 추적하고 개선이 필요한 영역을 파악하는 데 도움이 됩니다.
참고: 필터를 적용하여 결과를 세분화하세요.		 최근 클라우드 위협 감지 
detection.detection.ruleset_category_display_name = "Cloud Threats"

$Date = timestamp.get_timestamp(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
$Rule_Name = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.email_addresses)
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.asset.ip, detection.collection_elements.references.event.principal.ip)
$Host = strings.coalesce(detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.principal.hostname)

match:
    $Date, $Rule_Name, $User, $Source_IP, $Host

order:
    $Date desc
ISO 27001 - 조직 관리 ISO 27001 표준을 기반으로 조직의 보안 관리 및 규정 준수 실적에 대한 가시성을 제공합니다. 감사 결과를 추적하고 개선이 필요한 영역을 파악하는 데 도움이 됩니다.
참고: 필터를 적용하여 결과를 세분화하세요.		 시간 경과에 따른 심각도별 알림 
$Date = timestamp.get_date(detection.created_time.seconds)
$Severity = detection.collection_elements.references.event.security_result.severity
$Severity != "UNKNOWN_SEVERITY"

match:
    $Date, $Severity

outcome:
    $Count = count(detection.id)

order:
    $Date desc
Living Off the Land 활동 Rundll32 및 Regsvr32와 같은 신뢰할 수 있는 시스템 도구의 잠재적 오용에 관한 중요한 통계를 제공합니다. 탐지를 회피하고 시스템 유틸리티를 악용하기 위해 지능형 위협이 일반적으로 활용하는 활동을 추적하고 시각화합니다. 시간 경과에 따른 Living Off The Land 감지 
detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = detection.detection.rule_name
$Severity = detection.detection.severity
$Risk_Score = detection.detection.risk_score
$Date = timestamp.get_date(detection.collection_elements.references.event.metadata.event_timestamp.seconds)

match:
    $Rule_Name, $Severity, $Risk_Score, $Date
outcome:
    $Count = count(detection.detection.threat_id)
order:
    $Count desc
Living Off the Land 활동 Rundll32 및 Regsvr32와 같은 신뢰할 수 있는 시스템 도구의 잠재적 오용에 관한 중요한 통계를 제공합니다. 탐지를 회피하고 시스템 유틸리티를 악용하기 위해 지능형 위협이 일반적으로 활용하는 활동을 추적하고 시각화합니다. 심각도별 자급자족식 감지 
$event.detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = $event.detection.detection.rule_name
$Severity = $event.detection.detection.severity
$Risk_Score = $event.detection.detection.risk_score

match:
    $Rule_Name, $Severity, $Risk_Score
limit:
    50
Living Off the Land 활동 Rundll32 및 Regsvr32와 같은 신뢰할 수 있는 시스템 도구의 잠재적 오용에 관한 중요한 통계를 제공합니다. 탐지를 회피하고 시스템 유틸리티를 악용하기 위해 지능형 위협이 일반적으로 활용하는 활동을 추적하고 시각화합니다. Living Off The Land 감지 
$event.detection.detection.rule_set = "89adf0db-5d29-0a04-c926-f8c2a58f5d1b"

$Rule_Name = $event.detection.detection.rule_name

match:
    $Rule_Name
outcome:
    $Last_Detection = timestamp.get_timestamp(max($event.detection.collection_elements.references.event.metadata.event_timestamp.seconds))
order:
    $Last_Detection desc
기본 데이터 수집 상태 및 감지된 IoC의 요약을 제공하고 잠재적 위협에 대한 전반적인 관점을 제공합니다. 감지 
detection.id != ""
outcome:
   $count = count(detection.id)
기본 데이터 수집 상태 및 감지된 IoC의 요약을 제공하고 잠재적 위협에 대한 전반적인 관점을 제공합니다. 알림 
detection.id != ""
outcome:
   $count = count_distinct(detection.id)
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 감지 수별 상위 100명의 사용자 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$username = group(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.src.user.userid, detection.collection_elements.references.event.target.user.userid)

$username != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $username

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 시간에 따른 Mandiant Threat Defense 감지 
$rule_pack_name = detection.detection.rule_set_display_name
$date = timestamp.get_date(detection.created_time.seconds)

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $date

outcome:
    $count = count_distinct(detection.id)

order:
    $date asc
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 원격 분석 소스별 감지 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$vendor_name = detection.collection_elements.references.event.metadata.vendor_name
$product_name = detection.collection_elements.references.event.metadata.product_name

$vendor_name != ""
$product_name != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $vendor_name, $product_name

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 감지 
$rule_pack_name = detection.detection.rule_set_display_name
re.regex($rule_pack_name, `^Mandiant.*`)

outcome:
    $count = count_distinct(detection.id)
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 탐지 수 기준 상위 100개 호스트 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$hostname = group(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.src.hostname, detection.collection_elements.references.event.target.hostname)

$hostname != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $hostname

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 진행 중인 추적 활동과 완료된 추적 활동을 자세히 설명하고 추적 프로세스를 통해 발견된 추세를 강조합니다. 감지 수별 상위 100개 애셋 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$asset_id = group(detection.collection_elements.references.event.principal.asset_id, detection.collection_elements.references.event.src.asset_id, detection.collection_elements.references.event.target.asset_id)

$asset_id != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $asset_id

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 감지 수별 상위 100개 규칙 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$asset_id = group(detection.collection_elements.references.event.principal.asset_id, detection.collection_elements.references.event.src.asset_id, detection.collection_elements.references.event.target.asset_id)

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $rule_name

outcome:
    $count = count_distinct(detection.id)
    $asset_count = count_distinct($asset_id)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 진행 중인 추적 활동과 완료된 추적 활동을 자세히 설명하고 추적 프로세스를 통해 발견된 추세를 강조합니다. 플랫폼별 감지 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$platform = detection.collection_elements.references.event.principal.asset.platform_software.platform

$platform != "UNKNOWN_PLATFORM"

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $platform

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 이벤트 유형별 감지 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name
$event_type = detection.collection_elements.references.event.metadata.event_type

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $event_type

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 탐지 수 기준 상위 100개 도메인 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name

$domain = group(detection.collection_elements.references.event.principal.administrative_domain, detection.collection_elements.references.event.target.administrative_domain, detection.collection_elements.references.event.about.administrative_domain, detection.collection_elements.references.event.principal.asset.network_domain, detection.collection_elements.references.event.target.asset.network_domain, detection.collection_elements.references.event.about.asset.network_domain)

$domain != ""

re.regex($rule_pack_name, `^Mandiant.*`)

match:
    $domain

outcome:
    $count = count_distinct(detection.id)
    $unique_rules = count_distinct($rule_name)

order:
    $count desc

limit:
    100
Mandiant Threat Defense Mandiant가 환경에서 수행하는 사전 대응형 위협 탐지에 대한 명확한 가시성을 제공합니다. 헌팅 프로세스를 통해 발견된 추세를 강조하면서 진행 중인 헌팅 활동과 완료된 헌팅 활동을 자세히 설명합니다. 상위 10개 MITRE ATT&CK® 기법 (로그 스케일) 
$rule_pack_name = detection.detection.rule_set_display_name
$rule_name = detection.detection.rule_name

re.regex($rule_pack_name, `^Mandiant.*`)

$mitre_technique = if(detection.detection.rule_labels["technique"] = "", "Unassigned", detection.detection.rule_labels["technique"])

match:
    $mitre_technique

outcome:
    $count = count_distinct(detection.id)

order:
    $count desc

limit:
    10
NIST 800-53 - 액세스 제어 NIST 800-53 액세스 제어 동향 및 위치정보 위험에 대한 가시성을 제공합니다. 차트가 로드되고 데이터가 범위 지정되도록 NIST_Compliance_Assets 참조 목록이 생성되었는지 확인합니다. 비정상적인 로그인 위치 감지 
detection.collection_elements.references.event.security_result.action = "ALLOW"
detection.detection.rule_name = "Login from Country Never Before Seen for a User Group"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
     $User, $Rulename, $Country

outcome:
    $Count = count(detection.id)

order:
    $Count desc
NIST 800-53 - 액세스 제어 NIST 800-53 액세스 제어 동향 및 위치정보 위험에 대한 가시성을 제공합니다. 차트가 로드되고 데이터가 범위 지정되도록 NIST_Compliance_Assets 참조 목록이 생성되었는지 확인합니다. 의심스러운 로그인 활동 
detection.detection.rule_name = "Brute Force then Successful Login by User"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
     $User, $Rulename, $Country

outcome:
    $Count = count(detection.id)

order:
    $Count desc
네트워크 트래픽 개요 IP, 프로토콜, 공급업체 알림, 지역별로 클라우드 및 온프레미스 네트워크 트래픽을 실시간으로 모니터링하여 트래픽 볼륨과 잠재적인 문제를 효과적으로 분석할 수 있습니다. 지역별 선별된 감지 사용자 
detection.collection_elements.references.event.security_result.action = "ALLOW"

$Country = strings.coalesce(detection.collection_elements.references.event.principal.location.country_or_region, detection.collection_elements.references.event.principal.ip_geo_artifact.location.country_or_region)
$Rulename = detection.detection.rule_name
$Rulename = "Azure Multiple Geolocation Login Success" or $Rulename = "Login from Country Never Before Seen for a User Group"
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)


match:
    $Country, $Rulename, $User, detection.collection_elements.references.event.metadata.event_type

outcome:
    $Count = count($Country)

order:
    $Count desc

limit:
    10
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 작업별 시간 경과에 따른 알림 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Date = timestamp.get_date(detection.created_time.seconds)
$Action = detection.collection_elements.references.event.security_result.action

match:
    $Date,$Action

outcome:
    $Count = count(detection.id)

order:
    $Date asc
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 설명별 이벤트 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Event_Name = detection.collection_elements.references.event.metadata.event_type
$Description = strings.coalesce(detection.collection_elements.references.event.security_result.summary,detection.collection_elements.references.event.security_result.description,detection.collection_elements.references.event.metadata.description)
$Log_Type = detection.collection_elements.references.event.metadata.log_type
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.ip, detection.collection_elements.references.event.principal.asset.ip)
$Destination_IP = strings.coalesce(detection.collection_elements.references.event.target.ip, detection.collection_elements.references.event.target.asset.ip)
$Action = detection.collection_elements.references.event.security_result.action
$Destination_Hostname = strings.coalesce(detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$File = detection.collection_elements.references.event.target.process.file.full_path
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid, detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses)

match:
    $Description, $Event_Name,$User, $Source_IP, $Destination_IP, $Action, $Destination_Hostname, $File, $Log_Type

outcome:
    $Count = count(detection.collection_elements.references.event.metadata.id)

order:
    $Count desc
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 상위 10개 알림 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Rule_Name = detection.detection.rule_name
$Severity = detection.detection.severity

match:
    $Rule_Name,$Severity

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 상위 10명의 사용자 (알림 생성) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)

match:
    $User

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 알림 수 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

outcome:
    $Count = count(detection.id)
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 엔드포인트 수 (알림 생성) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.principal.asset.hostname,detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)

outcome:
    $Count = count_distinct($Hostname)
PCI - 알림 개요 PCI 표준에 영향을 미치는 잠재적인 보안 침해에 관한 알림과 유용한 정보를 통합적으로 제공합니다.
참고: PCI_ASSETS 참조 목록이 로드되어야 데이터가 올바르게 범위 지정됩니다.		 상위 10개 엔드포인트 (알림 생성) 
(detection.collection_elements.references.event.principal.hostname in %PCI_Assets or detection.collection_elements.references.event.principal.asset.hostname in %PCI_Assets or detection.collection_elements.references.event.target.hostname in %PCI_Assets or detection.collection_elements.references.event.target.asset.hostname in %PCI_Assets)

$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.principal.asset.hostname,detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)

match:
    $Hostname

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
PCI - 패치 관리 패치 관리 수명 주기에 대한 포괄적인 뷰를 제공하여 시스템 업데이트를 효과적으로 모니터링하고 관리할 수 있습니다.
참고: 데이터를 올바르게 로드하고 범위를 지정하려면 Patch_UPDATES 및 PCI_ASSETS 참조 목록이 필요합니다.		 시스템이 업데이트되지 않음 - 48시간 이내 
strings.coalesce($event.detection.collection_elements.references.event.principal.asset.hostname, $event.detection.collection_elements.references.event.principal.hostname) in %PCI_Assets
$Rule_Name = $event.detection.detection.rule_name
$Rule_Name = "systems_not_updating_within_48_hours"
$Hostname = strings.coalesce($event.detection.collection_elements.references.event.principal.asset.hostname, $event.detection.collection_elements.references.event.principal.hostname)


match:
    $Hostname
limit:
    50
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 시간 경과에 따른 이름별 규칙 감지 
$rulename = detection.detection.rule_name
$date = timestamp.get_date(detection.detection_time.seconds)
match:
    $rulename, $date
outcome:
    $detection_count = count_distinct(detection.id)
order:
    $date
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 상위 10개 활성 규칙 
$Rulename = detection.detection.rule_name

match:
    $Rulename

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
        10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 탐지를 트리거하는 상위 10개 공급업체 제품 
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Product_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 시간 경과에 따른 심각도별 감지 
$Severity = detection.detection.severity
$Date = timestamp.get_date(detection.detection_time.seconds)

match:
    $Date, $Severity

outcome:
    $Count = count_distinct(detection.id)

order:
    $Date asc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 심각도별 감지 
$Rulename = detection.detection.rule_name
$Severity = detection.detection.severity

match:
    $Rulename,$Severity

outcome:
    $Count = count_distinct(detection.id)

order:
    $Severity desc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 규칙 감지별 상위 10개 IP 
$ip = group(
    detection.collection_elements.references.event.principal.ip,
    detection.collection_elements.references.event.target.ip,
    detection.collection_elements.references.event.src.ip
    )
$ip != ""
match:
  $ip
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 감지 기준 상위 10개 기기 
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname,detection.collection_elements.references.event.target.asset.hostname)
$Severity = detection.detection.severity

match:
    $Hostname, $Severity

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 평균 위험 점수 
$Rule_Set = detection.detection.rule_set_display_name

match:
    $Rule_Set

outcome:
    $Detection_Count = count(detection.id)
    $Average_Risk_Score = math.round(sum(detection.detection.risk_score)/count(detection.id),2)

order:
    $Average_Risk_Score desc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 위험에 처한 사용자 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.user.userid != ""
detection.collection_elements.references.event.metadata.product_name != ""

$User = detection.collection_elements.references.event.principal.user.userid
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $User, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $Count = count(detection.id)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc, $Count desc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 작업별 상위 10개 대상 IP 
$Destination_IP = strings.coalesce(detection.collection_elements.references.event.target.ip,detection.collection_elements.references.event.target.asset.ip)
$Action = detection.collection_elements.references.event.security_result.action

match:
    $Destination_IP,$Action

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 가장 적게 사용된 10개 규칙 
$Rule_Name = detection.detection.rule_name

match:
    $Rule_Name

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count asc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 공급업체 제품별 상위 10개 위협 서명 
$Threat_Signature = strings.coalesce(detection.collection_elements.references.event.security_result.threat_name, detection.detection.detection_fields["threat_signature"])

$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Threat_Signature, $Product_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 일반적인 MITRE ATT&CK 기법 및 전략 
$Tactic_ID = detection.collection_elements.references.event.security_result.attack_details.tactics.id
$Tactic_Name = detection.collection_elements.references.event.security_result.attack_details.tactics.name
$Tactic_Name != ""
$Technique_Name = detection.collection_elements.references.event.security_result.attack_details.techniques.name
$Tectinque_ID = detection.collection_elements.references.event.security_result.attack_details.techniques.id
$Sub_Technique = detection.collection_elements.references.event.security_result.attack_details.techniques.subtechnique_name

match:
    $Tactic_Name, $Tactic_ID, $Technique_Name, $Tectinque_ID, $Sub_Technique

outcome:

    $Ruleset_Count = count_distinct(detection.detection.rule_set_display_name)
    $Count = count_distinct(detection.id)


order:
    $Count desc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 감지별 상위 10명의 사용자 
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.principal.user.user_display_name,
detection.collection_elements.references.event.principal.user.email_addresses,detection.collection_elements.references.event.target.user.userid,detection.collection_elements.references.event.target.user.user_display_name,detection.collection_elements.references.event.target.user.email_addresses)
$Severity = detection.detection.severity

match:
    $User, $Severity

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 규칙 감지별 상위 사용자 
$user = group(
  detection.collection_elements.references.event.src.user.userid,
  detection.collection_elements.references.event.principal.user.userid,
  detection.collection_elements.references.event.target.user.userid
  )
$user != ""
match:
  $user
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 감지별 상위 10개 규칙 이름 
$rulename = detection.detection.rule_name
match:
    $rulename
outcome:
    $detection_count = count_distinct(detection.id)
order:
    $detection_count desc
limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 신뢰도 수준별 감지 
$Rule_Name = detection.detection.rule_name
$Confidence_Level = detection.detection.confidence
$Risk_Score = detection.detection.risk_score
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name
$Severity = detection.detection.severity

match:
   $Rule_Name,$Severity,$Risk_Score, $Confidence_Level,$Threat_Name

outcome:
   $Count = count_distinct(detection.id)

order:
    $Risk_Score desc
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 상위 10개 활성 규칙 세트 
$Ruleset = detection.detection.rule_set_display_name

match:
    $Ruleset

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 작업별 상위 10개 소스 IP 
$Action = detection.collection_elements.references.event.security_result.action
$Source_IP = strings.coalesce(detection.collection_elements.references.event.principal.ip,detection.collection_elements.references.event.principal.asset.ip)


match:
    $Action, $Source_IP

 outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 상위 10개 위협 카테고리 
$Category = detection.collection_elements.references.event.security_result.category
$Category_Details= detection.collection_elements.references.event.security_result.category_details
$Threat_Name = detection.collection_elements.references.event.security_result.threat_name

match:
   $Category, $Category_Details

outcome:
    $Threat_Type = array_distinct($Threat_Name)
    $Count = count_distinct(detection.id)

order:
    $Count desc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 규칙 감지별 상위 10개 호스트 
$host = group(detection.collection_elements.references.event.src.hostname,detection.collection_elements.references.event.principal.hostname,detection.collection_elements.references.event.target.hostname)
$host != ""
match:
  $host
outcome:
  $count = count(detection.id)
order:
  $count desc
limit: 10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 시간 경과에 따른 심각도별 규칙 감지 
$severity = detection.detection.rule_labels["severity"]
$severity != ""
$detection_time = timestamp.get_date(detection.detection_time.seconds)
match:
   $severity, $detection_time
outcome:
   $count = count_distinct(detection.id)

order:
    $detection_time
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 시간 경과에 따른 규칙 감지 
$date = timestamp.get_date(detection.detection_time.seconds)
match:
    $date
outcome:
    $total=count_distinct(detection.id)
order:
    $date
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 활성 규칙 세트 10개 미만 
$Rule_Set = detection.detection.rule_set_display_name

match:
    $Rule_Set

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count asc

limit:
    10
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 심각도별 규칙 감지 
$severity = detection.detection.rule_labels["severity"]
$severity != ""
match:
   $severity
outcome:
   $count = count_distinct(detection.id)
규칙 감지 개요 가시성을 개선하기 위해 탐지 규칙과 위협 패턴을 분석합니다. 이러한 통계를 사용하여 규칙 실적을 평가하고 사고 대응을 강화하세요.
참고: 필터를 적용하여 결과를 세분화하세요.		 위험한 수준의 확장 소재 
detection.detection.risk_score > 0
detection.collection_elements.references.event.principal.hostname != ""
detection.collection_elements.references.event.metadata.product_name != ""

$Hostname = detection.collection_elements.references.event.principal.hostname
$IP_Address = detection.collection_elements.references.event.principal.ip
$Product_Name = detection.collection_elements.references.event.metadata.product_name

match:
    $Hostname, $IP_Address, $Product_Name

outcome:
    $Risk_Score = max(detection.detection.risk_score)
    $Count = count(detection.id)
    $First_Time_Seen = timestamp.get_timestamp(min(detection.collection_elements.references.event.metadata.event_timestamp.seconds))
    $Last_Time_Seen = timestamp.get_timestamp(max(detection.collection_elements.references.event.metadata.event_timestamp.seconds))

order:
    $Risk_Score desc, $Count desc
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. P50 수집 지연 시간(분) 
detection.type = "RULE_DETECTION"
detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds < 3600
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name

//detection.detection.rule_type = "MULTI_EVENT"

$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)


detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0


match:
    $day
outcome:
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) /60, 2)

order:
    $p50_ingest_to_detection_delay desc
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. 감지별 지연 시간 수 - 상위 20개 
$detect_id = detection.id
$rule_name = detection.detection.rule_name
$rule_id = detection.detection.rule_id
$detectionTime = detection.created_time.seconds

detection.type = "RULE_DETECTION"

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0

detection.collection_elements.references.event.metadata.log_type != ""
$logType = detection.collection_elements.references.event.metadata.log_type

match:
  $rule_name, $detect_id

outcome:
  $ingestion_deleay = math.round( (max(detection.latency_metrics.newest_ingestion_time.seconds) - max(detection.latency_metrics.newest_event_time.seconds)) / 60, 1)
  $ingestion_to_detection = math.round((max(detection.created_time.seconds) - max(detection.latency_metrics.newest_ingestion_time.seconds)) / 60, 1)
  $event_to_deteciton = math.round((max(detection.created_time.seconds) - max(detection.latency_metrics.newest_event_time.seconds)) / 60, 1)

order:
  $ingestion_to_detection desc

limit:
  20
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. P50 수집에서 감지까지의 지연 시간(분) 
detection.type = "RULE_DETECTION"
detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds < 3600
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name

//detection.detection.rule_type = "MULTI_EVENT"

$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)

detection.created_time.seconds != 0
detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0


match:
    $day
outcome:
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 50) /60, 1)

order:
    $p50_ingest_to_detection_delay desc
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. 감지 지연 시간 
detection.type = "RULE_DETECTION"
//$rule_id = detection.detection.rule_id
$rule_type = detection.detection.rule_type
$rule_name = detection.detection.rule_name
$rule_freq = detection.rule_run_frequency

//detection.detection.rule_type = "MULTI_EVENT"

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0
detection.created_time.seconds != 0

$did = detection.id

match:
    $rule_name, $rule_freq, $rule_type
outcome:
    $detect_count = count_distinct($did)

    $avg_ingest_delay = math.round(window.percentile(detection.latency_metrics.newest_ingestion_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) / 60, 2)
    $p50_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 50) /60, 1)
    $p90_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 90) /60, 1)

    $p50_event_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_event_time.seconds, 50) / 60, 1)
    $p90_event_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_event_time.seconds, 90) /60, 1)

order:
    $p50_ingest_to_detection_delay desc
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. P90 수집에서 감지까지의 지연 시간(분) 
detection.type = "RULE_DETECTION"
$rule_id = detection.detection.rule_id
$rule_name = detection.detection.rule_name


$did = detection.id
$day = timestamp.get_date(detection.created_time.seconds)

detection.latency_metrics.newest_ingestion_time.seconds != 0
detection.latency_metrics.newest_event_time.seconds != 0
detection.created_time.seconds != 0

match:
    $day
outcome:
    $p90_ingest_to_detection_delay = math.round(window.percentile(detection.created_time.seconds - detection.latency_metrics.newest_ingestion_time.seconds, 90) /60, 1)

order:
    $p90_ingest_to_detection_delay desc
규칙 모니터링 가능성 이 대시보드에는 규칙 실행에서 내보낸 기본 측정항목이 표시됩니다. 타이밍 세부정보별 감지 횟수 (기본 또는 다시보기) 
$detection_timing_details = detection.detection_timing_details
$detection_id = detection.id
detection.created_time.seconds != 0
$day = timestamp.get_date(detection.created_time.seconds)
$detection_type = detection.type

match:
    $day, $detection_timing_details

outcome:
    $total_detections = count_distinct($detection_id)


order:
    $day desc
보안 관리 개요 리더가 보안 진행 상황을 모니터링하는 데 도움이 되는 케이스 활동 및 사고 추세에 관한 주요 측정항목을 제공합니다. 이러한 인사이트를 사용하여 위험을 식별하고 데이터 기반으로 보안 효과를 개선하세요. 관찰된 위협 캠페인 - 지난 7일 
detection.detection.rule_name = /ioc/ nocase

$Threat_Campaign = detection.collection_elements.references.entity.metadata.threat.campaigns
$Threat_Campaign != ""

match:
    $Threat_Campaign

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc
보안 관리 개요 리더가 보안 진행 상황을 모니터링하는 데 도움이 되는 케이스 활동 및 사고 추세에 관한 주요 측정항목을 제공합니다. 이러한 인사이트를 사용하여 위험을 식별하고 데이터 기반으로 보안 효과를 개선하세요. 관찰된 공격자 - 지난 7일 
detection.detection.rule_name = /ioc/ nocase

$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""

match:
    $Threat_Actor

outcome:
    $Count = count_distinct(detection.id)

order:
    $Count desc
보안 관리 개요 리더가 보안 진행 상황을 모니터링하는 데 도움이 되는 케이스 활동 및 사고 추세에 관한 주요 측정항목을 제공합니다. 이러한 인사이트를 사용하여 위험을 식별하고 데이터 기반으로 보안 효과를 개선하세요. 
detection.detection.alert_state = "ALERTING"

outcome:
    $total = count_distinct(detection.id)
보안 관리 개요 리더가 보안 진행 상황을 모니터링하는 데 도움이 되는 케이스 활동 및 사고 추세에 관한 주요 측정항목을 제공합니다. 이러한 인사이트를 사용하여 위험을 식별하고 데이터 기반으로 보안 효과를 개선하세요. 
outcome:
    $Count = count_distinct(detection.id)
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 조직을 타겟팅하는 상위 10개 위협 행위자 
detection.detection.rule_name = /ioc/ nocase

$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Threat_Actor

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. UEBA 알림 
detection.detection.ruleset_category_display_name = "Risk Analytics for UEBA"
detection.detection.alert_state = "ALERTING"

$Rule_Name = detection.detection.rule_name
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid)

match:
  $Rule_Name, $Hostname, $User

outcome:
  $Count = count(detection.id)

order:
  $Count desc
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 시간 경과에 따른 감지 
$Date = timestamp.get_date(detection.created_time.seconds)

match:
    $Date

outcome:
    $Detection_Count = count(detection.id)

order:
    $Date asc
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 심각도별 탐지 
$Rule_Name = detection.detection.rule_name
$Severity = detection.collection_elements.references.event.security_result.severity

match:
    $Severity, $Rule_Name

outcome:
    $Detection_Count = count(detection.id)

order:
    $Severity desc
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 이름별 상위 10개 감지 
$Rule_Name = detection.detection.rule_name

match:
    $Rule_Name

outcome:
    $Detection_Count = count(detection.id)

order:
    $Detection_Count desc

limit:
    10
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 상위 10개 클라우드 알림 
detection.detection.ruleset_category_display_name = "Cloud Threats"
detection.detection.alert_state = "ALERTING"

$Rule_Name = detection.detection.rule_name
$Targeted_Resources = strings.coalesce(detection.collection_elements.references.event.target.application, detection.collection_elements.references.event.target.resource.name)
$User = strings.coalesce(detection.collection_elements.references.event.principal.user.user_display_name, detection.collection_elements.references.event.principal.user.email_addresses, detection.collection_elements.references.event.principal.user.userid,detection.collection_elements.references.event.target.user.user_display_name, detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid)

match:
  $Rule_Name, $Targeted_Resources, $User

outcome:
  $Count = count(detection.id)

order:
  $Count desc

limit:
      10
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 조직을 타겟팅하는 상위 10개 캠페인 
detection.detection.rule_name = /ioc/ nocase

$Threat_Campaign = detection.collection_elements.references.entity.metadata.threat.campaigns
$Threat_Campaign != ""
match:
    $Threat_Campaign

outcome:
    $Count = count(detection.id)

order:
    $Count desc

limit:
    10
보안 상태 관리 감지 및 애셋 모니터링을 비롯한 위협, 사고, 취약점에 대한 실시간 개요를 제공합니다. 이를 통해 보안팀은 위험 보안 상황을 평가하고 효과적인 수정 전략을 구현하여 사고 대응을 간소화할 수 있습니다. 탐지별 상위 10개 호스트 
$Rule_Name = detection.detection.rule_name
$Hostname = strings.coalesce(detection.collection_elements.references.event.principal.hostname, detection.collection_elements.references.event.principal.asset.hostname, detection.collection_elements.references.event.target.hostname, detection.collection_elements.references.event.target.asset.hostname)
$Hostname != ""
match:
    $Hostname

outcome:
    $Detection_Count = count_distinct(detection.id)

order:
    $Detection_Count desc

limit:
    10
위협 인텔리전스 개요 IOC 및 위험 점수에 대한 실시간 통계를 제공하여 새로운 인프라 위협을 더 빠르게 감지할 수 있습니다. 감지별 위협 캠페인 
detection.detection.rule_name = /ioc/ nocase
detection.collection_elements.references.entity.metadata.threat.campaigns !=""

$Rule_Name = detection.detection.rule_name
$Campaigns = detection.collection_elements.references.entity.metadata.threat.campaigns
$Campaigns != ""
match:
    $Campaigns, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc
위협 인텔리전스 개요 IOC 및 위험 점수에 대한 실시간 통계를 제공하여 새로운 인프라 위협을 더 빠르게 감지할 수 있습니다. 시간 경과에 따른 위협 행위자별 탐지 
detection.detection.rule_name = /ioc/
detection.collection_elements.references.entity.metadata.threat.associations.type = "THREAT_ACTOR"

$Date = timestamp.get_date(detection.collection_elements.references.entity.metadata.event_metadata.event_timestamp.seconds)
$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Date, $Threat_Actor

outcome:
    $Count = count(detection.id)

order:
    $Count asc
위협 인텔리전스 개요 IOC 및 위험 점수에 대한 실시간 통계를 제공하여 새로운 인프라 위협을 더 빠르게 감지할 수 있습니다. IOC 유형별 시간 경과에 따른 탐지 
detection.detection.rule_name = /ioc/ nocase

$Date = timestamp.get_date(detection.collection_elements.references.entity.metadata.event_metadata.event_timestamp.seconds)
$IOC_Type = detection.collection_elements.references.entity.metadata.entity_type

match:
    $Date , $IOC_Type

outcome:
    $Count = count(detection.id)

order:
    $Count desc
위협 인텔리전스 개요 IOC 및 위험 점수에 대한 실시간 통계를 제공하여 새로운 인프라 위협을 더 빠르게 감지할 수 있습니다. 탐지별 위협 행위자 
detection.detection.rule_name = /ioc/ nocase
detection.collection_elements.references.entity.metadata.threat.associations.type = "THREAT_ACTOR"

$Rule_Name = detection.detection.rule_name
$Threat_Actor = detection.collection_elements.references.entity.metadata.threat.associations.name
$Threat_Actor != ""
match:
    $Threat_Actor, $Rule_Name

outcome:
    $Count = count(detection.id)

order:
    $Count desc
사용자 수명 주기 감사 사용자 계정 관리 활동에 관한 세부정보를 제공합니다. 이를 통해 사용자 수명 주기 전반에서 프로비저닝 및 프로비저닝 해제 정책을 준수할 수 있습니다.
참고: 필터를 적용하여 결과를 세분화하세요.		 최근 휴면 상태가 된 계정 
detection.collection_elements.references.event.metadata.event_type = "USER_LOGIN"

$User = strings.coalesce(detection.collection_elements.references.event.target.user.email_addresses, detection.collection_elements.references.event.target.user.userid, detection.collection_elements.references.event.target.user.windows_sid)
$User != ""

match:
    $User

outcome:
    $Last_Login_Time = max(detection.collection_elements.references.event.metadata.event_timestamp.seconds)
    $Last_Login_Timestamp = timestamp.get_timestamp($Last_Login_Time, "%F %T ")
    $Days_Since_Login = math.round((timestamp.current_seconds() - $Last_Login_Time )/ 86400)
    $Status = if($Last_Login_Time != 0 AND ($Days_Since_Login >= 180), "Dormant Account (≥180 Days)", if($Last_Login_Time != 0 AND ($Days_Since_Login >= 90), "Dormant Account (≥90 Days)", "Recently Dormant Account"))

order:
    $Days_Since_Login desc

unselect:
    $Last_Login_Time

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.