UDM 및 데이터 테이블 쿼리 보기

다음에서 지원:

이 문서는 다양한 보안 사용 사례에서 가시성을 제공하도록 설계된 사전 정의된 대시보드인 선별된 대시보드를 사용하여 위협 환경과 시스템 상태를 모니터링하려는 보안 운영 센터 (SOC) 관리자 및 분석가를 대상으로 합니다. 이 문서에서는 UDM 및 데이터 테이블 소스 유형에 대해 선별된 대시보드와 기본 쿼리를 제공합니다.

이러한 쿼리는 쿼리 편집기에서 사용하거나 맞춤 위젯의 기준으로 사용할 수 있습니다. 대시보드를 만들고 관리하는 방법은 대시보드 관리를 참고하세요.

대시보드 이름 설명 차트 이름 쿼리
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 심각도별 취약점 
metadata.log_type = /ARMIS_VULNERABILITIES|FINGERPRINT_JS|NUCLEUS_VULNERABILITY|QUALYS_ASSET_CONTEXT|QUALYS_SCAN|QUALYS_VIRTUAL_SCANNER|QUALYS_VM|RAPID7_INSIGHT|RAPID7_NEXPOSE|SNYK_SDLC|SPUR_FEEDS|STACKHAWK|SUBLIMESECURITY|SYMANTEC_SA|TENABLE_IO|TENABLE_OT|TENABLE_SC|TRENDMICRO_VISION_ONE_CONTAINER_VULNERABILITIES|UPGUARD|URLSCAN_IO/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity =
    if (principal.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        principal.asset.vulnerabilities.severity,
    if (target.asset.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        target.asset.vulnerabilities.severity,
    if (extensions.vulns.vulnerabilities.severity != "UNKNOWN_SEVERITY",
        extensions.vulns.vulnerabilities.severity,
    "UNKNOWN_SEVERITY")))

match:
    $Severity

outcome:
    $Count = count(strings.coalesce(extensions.vulns.vulnerabilities.name, extensions.vulns.vulnerabilities.description, extensions.vulns.vulnerabilities.vendor_vulnerability_id,
                                          principal.asset.vulnerabilities.name, target.asset.vulnerabilities.name, additional.fields["ScanReference"]))

order:
    $Severity desc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 로그 유형별 시간 경과에 따른 권한 변경사항 
metadata.event_type = "RESOURCE_PERMISSIONS_CHANGE"
or metadata.event_type = "USER_CHANGE_PERMISSIONS"
or metadata.event_type = "USER_RESOURCE_UPDATE_PERMISSIONS"
security_result.action = "ALLOW"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 시간 경과에 따른 MFA 이벤트(작업별) 
(re.regex(metadata.product_name, "MULTI-FACTOR_AUTHENTICATION") or re.regex(additional.fields["AuthenticationRequirement"], `multiFactorAuthentication`) nocase or re.regex(security_result.detection_fields.value, `MFA`) nocase )
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname,target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 작업별 시간 경과에 따른 로그인 이벤트 
metadata.event_type = "USER_LOGIN"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 DLP 위반별 상위 10개 ePHI 호스트 
metadata.log_type = /DLP|ACCELLION|CODE42_INCYDR|GUARDIUM|TRIPWIRE_FIM/ nocase
metadata.product_event_type = /Violation/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Hostname= strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $Hostname, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 시간 경과에 따른 심각도별 EDR 알림 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(security_result.rule_name, security_result.threat_name) != ""
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Severity = security_result.severity
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match:
    $Date, $Severity

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 시간 경과에 따른 작업별 백업 이벤트 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Action = security_result.action

match:
    $Date, $Action

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 작업별 시간 경과에 따른 비밀번호 변경 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Action = security_result.action
$Date = timestamp.get_date(metadata.event_timestamp.seconds)

match :
    $Date, $Action

outcome :
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 최근 백업 이벤트 (지난 24시간) 
(metadata.log_type = /COHESITY|DRUVA_BACKUP|VEEAM|VERITAS_NETBACKUP/ nocase or metadata.log_type = "RUBRIK")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Description = strings.coalesce(metadata.description, security_result.description, security_result.summary)
$Log_Type = metadata.log_type
$Event_Type = metadata.event_type
$Security_Event_Type = metadata.product_event_type
$Action = security_result.action

match:
    $Description, $Security_Event_Type, $Event_Type, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 최근 EDR 알림 (지난 24시간) 
metadata.log_type = /EDR|CS_ALERTS|CS_DETECTS|FIREEYE_HX|MICROSOFT_DEFENDER_ENDPOINT|MICROSOFT_DEFENDER_IDENTITY|SENTINEL_DV/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$EDR_Alerts = strings.coalesce(security_result.rule_name, security_result.threat_name)
$EDR_Alerts != ""
$Severity = security_result.severity
$User = strings.coalesce(principal.user.user_display_name, principal.user.email_addresses, principal.user.userid, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Hostname = strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname)

match:
    $EDR_Alerts, $Hostname, $User, $Severity, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T")

order:
    $Date desc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 최근 사용자 계정 생성 (지난 24시간) 
metadata.event_type = "USER_CREATION"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Initiator = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses)
$User_Created = strings.coalesce(target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Action = security_result.action

match:
    $Initiator, $User_Created, $Source_Hostname, $Source_IP, $Action, $Log_Type

outcome:
    $Count = count(metadata.id)
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds), "%F %T ")

order:
    $Date desc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 로그 유형별 시간 경과에 따른 취약한 암호화된 통신 
(((target.resource.attribute.labels.key  = "keyProperties_type" or target.resource.attribute.labels.key  = "requestParameters.keySpec" or target.resource.attribute.labels.key = /key/ nocase) and target.resource.attribute.labels.value  = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/) or network.tls.cipher = /^(RSA-)|DES|RC4|MD5|SHA1|SHA-1/)
strings.coalesce(principal.hostname, principal.asset.hostname,  target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Date = timestamp.get_date(metadata.event_timestamp.seconds)
$Log_Type = metadata.log_type

match:
    $Date, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Date asc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 최근 사용자 비밀번호 변경 (지난 24시간) 
metadata.event_type = "USER_CHANGE_PASSWORD"
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Log_Type = metadata.log_type
$Security_Event_Type = metadata.product_event_type
$User = strings.coalesce(principal.user.userid, principal.user.user_display_name, principal.user.email_addresses, target.user.userid, target.user.user_display_name, target.user.email_addresses)
$Source_Hostname = strings.coalesce(principal.hostname, principal.asset.hostname)
$Source_IP = strings.coalesce(principal.ip, principal.asset.ip)
$Action = security_result.action

match :
    $User, $Source_Hostname, $Source_IP, $Security_Event_Type, $Action, $Log_Type

outcome :
    $Date = timestamp.get_timestamp(max(metadata.event_timestamp.seconds ), "%F %T")
    $Count = count(metadata.id)

order :
    $Date desc
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 상위 10개 SaaS 애플리케이션 
strings.coalesce(security_result.category_details, security_result.rule_name) = /saas/ nocase
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Application = target.application
$Log_Type = metadata.log_type

match:
   $Application, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10
HIPAA 대시보드 HIPAA 규정 준수 및 보안 측정항목을 실시간으로 모니터링합니다. PHI 액세스 및 잠재적 위험을 파악하여 데이터 기밀성과 무결성을 보장합니다.
참고: 차트가 채워지기 전에 ePHI_assets.Hostname 데이터 테이블을 만들어야 합니다.		 상위 10개 주요 작업 
(metadata.log_type  = /AZURE_KEYVAULT_AUDIT|AKEYLESS_VAULT|GCP_CLOUDAUDIT/ or target.application = "kms.amazonaws.com")
strings.coalesce(principal.hostname, principal.asset.hostname, target.hostname, target.asset.hostname) in %ePHI_assets.Hostname

$Security_Event_Type = metadata.product_event_type
$Log_Type = strings.coalesce(metadata.log_type, target.application)

match:
    $Security_Event_Type, $Log_Type

outcome:
    $Count = count(metadata.id)

order:
    $Count desc

limit:
    10

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.