Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

MSSP 멀티 테넌트 작업

다음에서 지원:

Google secops

이 가이드는 관리형 보안 서비스 제공업체 (MSSP), 보안 분석가, 침해 사고 대응 담당자가 여러 Google Security Operations 고객 인스턴스에서 동시에 검색을 실행하고 위협을 조사하는 데 도움이 됩니다. 연합 인스턴스 그룹을 구성하고, 테넌트 간 통합 데이터 모델 (UDM) 검색 및 통계 쿼리를 실행하고, 개별 관리 테넌트로 피벗하는 방법을 설명합니다. 이 방법을 따르면 각 테넌트에 개별적으로 로그인할 필요가 없으며 분산된 환경 전반에서 가시성을 중앙 집중화할 수 있습니다. 이렇게 하면 운영 오버헤드가 줄어들고 교차 테넌트 위협 감지 및 사고 대응이 가속화됩니다.

연합 검색은 별도의 탐색 페이지가 아닌 기존 UDM 검색 페이지 (조사 > 검색)에 직접 내장되어 있습니다. 기존 Google Cloud Identity and Access Management (IAM) 구성을 사용하여 지정된 관리 인스턴스를 여러 관리 인스턴스에 연결합니다.

연결된 하위 테넌트와 필수 연합 IAM 역할이 있는 관리 인스턴스에 로그인하면 검색 페이지에 인스턴스 메뉴가 표시됩니다 (이 메뉴는 표준 단일 테넌트 인스턴스에는 표시되지 않음). 이 메뉴에서 타겟 인스턴스 또는 그룹을 선택하고 검색어를 시작하면 Google에서 모든 타겟 인스턴스에 대한 승인을 확인하고, 쿼리를 배포하고, 소스 인스턴스 코드로 태그된 일치하는 이벤트와 집계된 통계의 통합 뷰를 반환합니다.

주요 용어

제휴 검색 및 멀티 테넌트 작업에는 다음 용어가 적용됩니다.

인스턴스 관리: 연결된 인스턴스를 관리하고, 연합 그룹을 구성하고, 연합 검색을 실행하는 데 필요한 권한이 있는 중앙 Google SecOps 인스턴스입니다.
관리형 인스턴스: 관리 인스턴스에서 시작된 제휴 요청에 응답하는 연결된 Google SecOps 인스턴스입니다.
인스턴스 메뉴: 조사 > 검색의 드롭다운 선택기로, 연합 검색에 포함할 연결된 관리형 인스턴스 또는 인스턴스 그룹을 선택할 수 있습니다. 이 메뉴는 SIEM 설정> 연결된 인스턴스에 연결된 하위 테넌트가 있고 계정에 chronicle.googleapis.com/federationAdmin 또는 chronicle.googleapis.com/federationViewer 역할이 있는 관리 인스턴스에 로그인한 경우에만 표시됩니다.
인스턴스 코드: 반환된 이벤트와 연합 검색 결과의 집계된 통계 행에 태그를 지정하는 각 관리 인스턴스 (instance_code)에 할당된 고유 식별자입니다.
연합 관리자: 연합 그룹을 만들고 연합 검색을 실행하는 데 관리 인스턴스 프로젝트에 필요한 IAM 역할 (chronicle.googleapis.com/federationAdmin)입니다.
연합 뷰어: 그룹을 만들거나 삭제하지 않고 연합 구성을 보고 연합 검색을 실행할 수 있는 읽기 전용 액세스 권한을 부여하는 IAM 역할 (chronicle.googleapis.com/federationViewer)입니다.
제휴 통계: 여러 관리형 인스턴스에서 실행되는 UDM 기반 통계 집계 쿼리 (예: count 또는 sum)로, 결과가 instance_code에 의해 암시적으로 그룹화되고 격리됩니다.

일반적인 사용 사례

다음 섹션에서는 연합 검색이 핵심 보안 워크플로 전반에서 멀티 테넌트 데이터 사일로 및 운영 오버헤드를 해결하는 방법을 설명합니다.

데이터 사일로 전반의 교차 테넌트 위협 추적

목표: 여러 고객 또는 자회사 인스턴스에서 동시에 단일 YARA-L 쿼리를 실행하여 침해 지표 (IOC)와 인터넷 전반의 위협을 감지합니다.
가치: 개별 테넌트에 로그인할 필요가 없어 조직 경계와 지역 규정 준수 사일로 전반에서 중앙 집중식 가시성을 제공합니다.

인스턴스 그룹 전반의 사고 대응 및 트리아지

목표: 유사한 위협 프로필 (예: 금융 기관)을 가진 고객 테넌트를 논리적 인스턴스 그룹으로 정리하고 해당 그룹에서 타겟팅된 검색 또는 통계 집계를 실행합니다.
가치: 위협 헌팅의 범위를 특정 고객 세그먼트로 지정하고 즉각적인 해결이 필요한 테넌트를 식별하여 조사 시간과 관리 오버헤드를 줄입니다.

테넌트 관리자와의 공동 발견 항목 공유

목표: 관리 인스턴스의 연합 검색 결과에서 개별 관리 테넌트의 인터페이스로 직접 전환하고 해당 테넌트의 로컬 관리자와 특정 결과를 공유합니다.
가치: 테넌트 수준 데이터 격리를 유지하면서 중앙 MSSP 분석가와 로컬 고객 보안팀 간의 인계를 간소화합니다.

시작하기 전에

인스턴스 그룹을 구성하거나 연합 검색을 실행하기 전에 다음 기본 요건을 충족하는지 확인하세요.

권한: 관리 인스턴스와 연결된 Google Cloud 프로젝트에서 사용자에게 다음 IAM 역할 중 하나를 할당합니다.
- chronicle.googleapis.com/federationAdmin (제휴 관리자): 인스턴스 그룹 생성 및 삭제를 비롯한 모든 제휴 검색 기능에 대한 전체 액세스 권한을 부여합니다.
- chronicle.googleapis.com/federationViewer (연합 뷰어): 그룹을 수정하지 않고 연합 구성을 확인하고 연합 검색을 실행할 수 있는 읽기 전용 액세스 권한을 부여합니다.
- 사용자에게 관리 테넌트 전반에서 UDM 검색을 실행할 수 있는 chronicle.events.udmSearch 권한도 있어야 합니다.
환경 확인:
- 리전 범위: 참여하는 모든 Google SecOps 인스턴스 (관리 및 관리 대상)는 동일한 Google Cloud 리전에 있어야 합니다.
- 조직 계층 구조: 참여하는 모든 인스턴스가 동일한 Google Cloud 조직에 속해야 합니다. 각 관리형 인스턴스는 관리 인스턴스의 Google Cloud 폴더의 하위 폴더에 있어야 합니다 (관리 인스턴스의 프로젝트가 Google Cloud 폴더에 속하지 않는 경우 동일한 Google Cloud 조직 내의 모든 인스턴스를 관리할 수 있음).
- 액세스 제어 시행: 페더레이티드 검색은 각 하위 테넌트에서 구성된 데이터 역할 기반 액세스 제어 (RBAC) 설정을 준수합니다. 사용자는 할당된 역할에 의해 허용된 데이터에만 액세스할 수 있습니다.

제한사항

통합 검색은 기본 YARA-L 쿼리 및 UDM 통계 집계를 지원하며 다음과 같은 기능적 경계를 적용합니다.

지원되지 않는 단독 테넌트 검색 기능:
- 원시 로그 검색 (기존 및 RLSv2 모두)
- 항목 컨텍스트 그래프 (ECG) 검색
- Gemini 및 Gemini 요약을 사용한 YARA-L 2.0 쿼리 생성
- UDM 조회
- 고객 관리 암호화 키 (CMEK)를 사용하는 테넌트
- 검색 및 실행에 적용이 있는 테넌트 ID 필터
- 이벤트 뷰어 패널의 파서 관리 피벗
- 참조 목록 및 데이터 테이블
- 엔티티의 기존 뷰 및 UDM 검색의 개요 패널에서 기존 뷰로 피벗
- 개요 탭 및 알림 탭
- 결과 정렬 및 결과를 쉼표로 구분된 값 (CSV)으로 다운로드
- 이벤트 표에서 피벗
- API 기반 제휴 검색 (Chronicle API에서는 제휴 검색이 지원되지 않음)
제휴 통계 제한:
- 테넌트 간 병합 불가: 여러 테넌트의 데이터를 단일 글로벌 번호로 집계할 수 없습니다. 각 통계 결과는 특정 테넌트로 격리된 상태로 유지됩니다 (예: 10개 테넌트의 합계를 나타내는 행 1개가 아닌 10개 테넌트의 행 10개가 표시됨).
- 조인, 데이터 테이블 또는 다단계 쿼리 지원 안 함: 조인, 다단계 쿼리 또는 데이터 테이블을 사용하는 쿼리는 지원되지 않습니다.
- 범위: 제휴 통계는 UDM 이벤트로만 엄격하게 제한됩니다. 심전도 이벤트는 지원되지 않습니다.
- 시각화: 시각화 탭 (그래프 및 차트)이 사용 중지됩니다. 결과는 표 형식 데이터 형식으로만 제공됩니다.

연합 검색 그룹 구성 및 관리

관리 인스턴스 내에서 연결된 테넌트를 확인하고 논리적 인스턴스 그룹으로 구성하여 유사한 위협 프로필을 가진 고객을 관리할 수 있습니다. 다음 섹션에서는 연결된 인스턴스를 확인하고 그룹을 관리하는 방법을 설명합니다.

연결된 인스턴스 보기

그룹을 만들거나 검색을 실행하기 전에 관리 테넌트가 관리 인스턴스에 연결되어 있고 표시되는지 확인합니다.

관리 Google SecOps 인스턴스에 로그인합니다.
SIEM 설정 > 연결된 인스턴스로 이동합니다.
연결된 인스턴스 표를 검토합니다. 각 테넌트에 대한 다음 세부정보가 표시됩니다.
- 이름: 인스턴스의 표시 이름입니다.
- ID: 인스턴스 ID입니다.
- 코드: 인스턴스에 할당된 고유 식별자 코드로, 제휴 검색 결과에 표시됩니다.
- 그룹: 관리를 위해 할당된 인스턴스 그룹입니다.
주의: 제휴 검색 인스턴스는 새 테넌트를 만들거나 기존 테넌트를 제휴 범위의 폴더로 이동한 후 5분 이내에 연결된 인스턴스 목록에 자동으로 표시됩니다. 5분이 지나도 테넌트가 누락된 경우 동일한 Google Cloud 리전에 있고 관리 인스턴스의 Google Cloud 폴더의 하위 폴더 내에 있는지 확인합니다.

제휴 검색 그룹 만들기

특정 고객 세그먼트에서 타겟팅된 연합 검색을 실행하기 위해 논리적 인스턴스 그룹 (예: 은행 및 신용 조합 그룹화)을 만듭니다.

관리 Google SecOps 인스턴스에 로그인합니다.
SIEM 설정 > 연결된 인스턴스를 클릭합니다.
그룹 관리를 클릭합니다.
추가를 클릭합니다.
그룹 이름 필드에 그룹을 설명하는 이름을 입력합니다.
인스턴스에 할당 목록에서 그룹에 포함할 관리형 인스턴스를 선택합니다.
저장을 클릭합니다.

참고: 테넌트당 최대 100개의 인스턴스 그룹을 만들 수 있습니다. 추가 버튼을 사용할 수 없거나 저장에 실패하면 관리 인스턴스 프로젝트에서 계정에 chronicle.googleapis.com/federationAdmin 역할이 할당되어 있는지 확인합니다.

여러 인스턴스에서 통합 검색 실행

관리 인스턴스에서 YARA-L 쿼리를 실행하여 선택한 테넌트에서 이벤트를 검색하고 집계된 UDM 통계를 검사할 수 있습니다. 다음 섹션에서는 연합 쿼리를 실행하고 결과를 분석하는 방법을 설명합니다.

크로스 테넌트 UDM 검색 실행

연합 검색을 실행하여 여러 관리형 인스턴스 또는 인스턴스 그룹에서 일치하는 UDM 이벤트를 가져옵니다.

관리 인스턴스에 로그인합니다. 계정에 관리 인스턴스 및 연결된 모든 관리 인스턴스에 대한 액세스 권한이 있는지 확인합니다.
탐색 메뉴에서 조사 > 검색을 클릭합니다.
인스턴스 (연동을 위해 구성된 인스턴스 관리의 검색 페이지에 표시됨)를 클릭하고 검색에 포함할 개별 인스턴스 또는 인스턴스 그룹을 선택합니다.
검색 필드에 YARA-L 쿼리를 입력하고 검색 실행을 클릭합니다.
필요에 따라 결과 제한을 구성합니다.
- 페더레이션 검색에서 반환되는 총 결과 수는 검색 설정에 구성된 결과 집합 크기에 따라 결정됩니다 (기본값은 30,000이며 1~1,000,000 사이로 구성 가능).
- 검색어에 limit 키워드를 구성할 수도 있습니다. 이 키워드는 타겟팅된 각 인스턴스에 개별적으로 적용됩니다.
```
ip != "" limit:5000
```
  인스턴스를 10개 선택하면 이 쿼리는 각 인스턴스에서 최대 5,000개의 이벤트를 가져와 총 최대 50,000개의 이벤트를 반환합니다.
결과 요약 메뉴에서 쿼리 실행을 모니터링합니다. 이 메뉴에는 타겟 인스턴스별 상태 표시기 (실행 중, 완료됨 또는 실패됨)가 표시됩니다.
인스턴스 코드로 결과를 필터링하고 검사합니다.
- 검색 결과의 각 이벤트에는 소스 관리형 인스턴스를 식별하는 테넌트 (또는 인스턴스 코드) 열이 포함됩니다.
- 사이드바 또는 스냅샷 보기에서 테넌트 필터를 사용하여 결과를 특정 테넌트로 좁힙니다.
- 나열된 이벤트를 클릭하여 전체 UDM 이벤트와 원시 로그를 확인합니다.
참고: 각 통합 쿼리는 최대 150개의 인스턴스를 타겟팅하고 최대 30일의 시간 범위를 검색할 수 있습니다. 조직 시간당 연합 검색 쿼리 수 제한인 30개를 초과하면 HTTP 409 오류가 반환됩니다. 컴파일 오류로 인해 쿼리가 실패하면 쿼리에 조인, 데이터 테이블, 참조 목록과 같은 지원되지 않는 단독 테넌트 기능이 포함되어 있지 않은지 확인하세요.

연합 통계 분석 및 관리형 인스턴스로 피벗

여러 인스턴스에서 통계 UDM 쿼리 (예: count 또는 sum)를 실행하여 위협 가설을 검증하고 특정 테넌트로 드릴다운합니다.

관리 인스턴스의 탐색 메뉴에서 조사 > 검색을 클릭하고 인스턴스 메뉴에서 타겟 인스턴스 또는 그룹을 선택합니다.
UDM 통계 쿼리 (match 및 outcome 섹션 사용)를 입력하고 검색 실행을 클릭합니다.
- 페더레이션 쿼리 엔진은 타겟팅된 모든 인스턴스에서 집계를 조정하고 instance_code별로 결과를 암시적으로 그룹화합니다.
표 형식 결과 보기에서 인스턴스별 집계 행을 검토합니다.
특정 테넌트의 이벤트를 자세히 조사하려면 다음 피벗 작업 중 하나를 선택하세요.
- 통계 결과 행에서 UDM 쿼리 실행을 클릭하여 새 브라우저 탭에서 연결된 관리 인스턴스에 기본 검색을 직접 시작합니다.
- 결과 요약 메뉴에서 인스턴스 행 옆에 있는 새 탭에서 열기를 클릭하여 해당 인스턴스의 검색 결과만 표시된 새 브라우저 탭을 엽니다.
검색 결과를 검토한 후 완료를 클릭합니다.

참고: 집계는 인스턴스 수준에서 실행되며 최대 60,000개 행으로 제한됩니다. 페더레이션 검색에서는 교차 테넌트 병합과 시각화 탭이 사용 중지되므로 UDM 쿼리 실행을 사용하여 특정 테넌트로 피벗하면 원래 페더레이션 결과 탭을 유지하면서 단일 테넌트 시각화, CSV 내보내기, 심층 이벤트 검사를 이용할 수 있습니다.

예시 및 참조 정보

다음 섹션에서는 테넌트 간 위협 헌팅 및 사고 대응을 간소화하기 위한 샘플 YARA-L 쿼리와 멀티 테넌트 조사 예를 제공합니다.

인스턴스 그룹 전반에서 사용자 로그인 활동 추적

보안 분석가가 New York 및 California 인스턴스 그룹에서 모든 USER_LOGIN 이벤트를 검색하려고 합니다.

인스턴스 관리 탐색 메뉴에서 조사 > 검색을 클릭합니다.
인스턴스를 클릭하고 New York 및 California 인스턴스 그룹을 선택합니다.
검색 필드에 다음 UDM 쿼리를 입력합니다.
```
metadata.event_type = "USER_LOGIN"
```
검색 실행을 클릭합니다.
결과 요약에서 결과를 확인합니다.
- 각 이벤트에는 소스 인스턴스 코드와 선택한 테넌트에서 발견된 모든 USER_LOGIN 이벤트가 표시된 테넌트 열이 포함됩니다.
- 사이드바의 테넌트 필터를 사용하여 선택한 그룹 내의 특정 테넌트로 결과를 좁힙니다.
- 요약에는 New York 및 California 인스턴스 그룹의 테넌트별 USER_LOGIN 이벤트 수가 표시됩니다.

테넌트 전반에서 의심스러운 실행 파일 조사

멀티 테넌트 고객의 사고 대응팀이 instance1에서 의심스러운 실행 파일 (malicious.exe)에 대한 알림을 조사하려고 합니다.

instance1의 조사 > 검색에서 다음 UDM 쿼리를 실행하여 결과를 검증합니다.

metadata.event_type = "FILE_OPEN" AND target.file.full_path = "<var>FILE_PATH</var>/malicious.exe"

유효성 검사가 완료되면 관리 인스턴스를 열고 조사 > 검색으로 이동하여 인스턴스 메뉴를 사용하여 관련 인스턴스를 모두 선택합니다.
연합 검색을 사용하여 동일한 쿼리를 다시 실행하여 선택한 인스턴스를 스캔합니다.
결과 요약에는 모든 테넌트 인스턴스의 결과가 표시됩니다. 각 이벤트에는 인스턴스 코드가 포함되어 응답자가 모든 테넌트에서 malicious.exe에 액세스한 위치와 시간을 식별할 수 있습니다.

제휴 통계로 비정상 로그인 동작 식별

다음 예는 모든 제휴 인스턴스에서 비정상적인 지리적 위치에서의 로그인과 비정상적인 시간에 발생하는 로그인을 비롯한 비정상적인 로그인 동작을 식별하는 데 도움이 됩니다.

instance1의 조사 > 검색에서 다음 UDM 쿼리를 실행하여 결과를 검증합니다.

// Filter for successful logins
metadata.event_type = "USER_LOGIN"
security_result.action = "ALLOW"

$user = target.user.userid
$machine = target.hostname
$ip = principal.ip
$country = principal.ip_geo_artifact.location.country_or_region

// Match: Group by Machine
match: $machine

// Check for affected scope: How many unique IPs hit this machine?
// Check for logins from multiple countries
// Identify the time window of activity
outcome:
  $total_logins = count(metadata.id)
  $unique_users = count_distinct($user)
  $unique_source_ips = count_distinct($ip)
  $distinct_countries = count_distinct($country)
  $first_login = min(metadata.event_timestamp.seconds)
  $last_login = max(metadata.event_timestamp.seconds)

// Identify machines with the most unique users
order: $unique_users desc

유효성 검사가 완료되면 관리 인스턴스를 열고 조사 > 검색으로 이동하여 인스턴스 메뉴를 사용하여 관련 인스턴스를 모두 선택합니다.
연합 검색을 사용하여 동일한 쿼리를 다시 실행하여 선택한 인스턴스를 스캔합니다.
결과 요약에는 모든 테넌트 인스턴스의 결과가 표시됩니다. 각 행에는 인스턴스 코드가 포함되어 있어 위협 헌터에게 각 인스턴스의 로그인 이상을 알립니다.
UDM 쿼리 실행을 클릭하여 특정 인스턴스에 집중하여 의심스러운 동작을 자세히 조사합니다.

테넌트 관리자와 발견한 내용 공유

이 예에서는 조사자가 교차 테넌트 검색에서 발견된 결과를 단일 관리 테넌트로 격리한 후 해당 테넌트의 로컬 관리자와 공유하는 방법을 보여줍니다. 연합 검색 결과는 관리 인스턴스에서 여러 테넌트에 걸쳐 있으므로 특정 관리 인스턴스 (instance2)로 전환하여 해당 고객과 관련된 검색어와 이벤트만 공유합니다.

관리 인스턴스의 결과 요약에서 instance2의 일치 항목을 찾습니다.
instance2 옆에 있는 새 탭에서 열기를 클릭하여 해당 테넌트의 Google SecOps 인터페이스에서 검색 결과를 새 브라우저 탭에 엽니다.
instance2 페이지에서 검색 결과의 범위가 해당 인스턴스로만 지정되어 있는지 확인합니다.
공유 또는 저장을 클릭하여 다음 작업 중 하나를 수행합니다.
- instance2에 액세스할 수 있는 로컬 사용자와 검색 (쿼리 및 결과)을 공유합니다.
- 나중에 사용하거나 조사할 수 있도록 instance2에 검색어를 저장합니다.

문제 해결

다음 섹션에서는 일반적인 통합 검색 문제의 아키텍처 제한, 예상 지연 시간, 셀프 서비스 해결 방법을 설명합니다.

지연 시간, 서비스 할당량, 한도

제휴 검색은 멀티 테넌트 환경 전반에서 성능을 유지하기 위해 다음과 같은 서비스 할당량 및 처리 한도를 적용합니다.

테넌트 검색 지연 시간: 새로 생성되거나 이동된 인스턴스는 제휴 범위가 지정된 폴더에 배치된 후 5분 이내에 연결된 인스턴스 목록에 자동으로 표시됩니다.
인스턴스 제한: 각 통합 검색 쿼리는 최대 150개의 인스턴스를 타겟팅할 수 있습니다.
그룹 제한: 테넌트당 최대 100개의 인스턴스 그룹을 만들 수 있습니다.
쿼리 비율 제한: 조직당 시간당 최대 30개의 통합 검색 쿼리를 실행할 수 있습니다. Google Cloud 이 한도를 초과하면 HTTP 409 오류가 반환됩니다.
쿼리 결과 제한: 페더레이션 검색은 최대 1,000,000개의 결과 행을 반환하며, 이는 쿼리에서 타겟팅한 총 Google SecOps 테넌트 수에 균등하게 분배됩니다.
통합 통계 결과 제한: 통합 통계 쿼리는 표 형식으로 최대 60,000개의 행을 반환합니다.
쿼리 기간: 각 통합 검색 쿼리는 최대 30일의 기간을 검색할 수 있습니다.

오류 해결

다음 표를 사용하여 일반적인 페더레이티드 검색 문제를 진단하고 해결하세요.

문제 또는 오류 코드	설명	실행 가능한 수정사항
`HTTP 409`	쿼리 비율 한도 초과: 조직에서 시간당 최대 30개의 제휴 검색 쿼리를 초과했습니다.	추가 연합 검색을 실행하기 전에 시간별 할당량 창이 재설정될 때까지 기다리거나 개별 관리형 인스턴스에서 직접 타겟팅된 쿼리를 실행하세요.
연결된 인스턴스에 테넌트가 누락됨	테넌트가 페더레이션 목록에 표시되지 않음: 새로 생성되거나 이동된 인스턴스가 SIEM 설정 > 연결된 인스턴스에 표시되지 않습니다.	자동 검색 동기화가 완료될 때까지 최대 5분 정도 기다립니다. 인스턴스가 계속 누락되면 동일한 Google Cloud 조직 및 리전에 있고 관리 인스턴스의 Google Cloud 폴더의 하위 폴더에 있는지 확인합니다.
권한이 거부되었거나 승인되지 않음	페더레이션 쿼리를 실행하거나 그룹을 관리할 수 없음: 관리 인스턴스에 액세스하거나, 그룹을 만들거나, 관리 테넌트를 쿼리할 수 없습니다.	관리 프로젝트에 `chronicle.googleapis.com/federationAdmin` (또는 `federationViewer`) 권한이 있고, `chronicle.events.udmSearch` 권한이 있으며, 각 타겟 하위 테넌트에 데이터 RBAC 액세스 권한이 있는지 확인합니다.
쿼리 컴파일 오류	지원되지 않는 쿼리 구문: 조인, 데이터 테이블, 참조 목록 또는 ECG 필드를 사용하려고 하면 쿼리가 실패합니다.	페더레이션 쿼리에서 조인, 데이터 테이블, 참조 목록, 심전도 참조를 삭제하거나 UDM 쿼리 실행을 사용하여 단일 테넌트 인스턴스로 전환하여 고급 단일 테넌트 검색을 실행합니다.

유효성 검사 및 테스트

최대 150개의 관리 인스턴스에서 복잡한 YARA-L 검색 또는 통계 쿼리를 실행하기 전에 먼저 단일 인스턴스에서 쿼리 문법과 필드 매핑을 검증하세요.

관리 인스턴스 하나 (예: instance1)에서 조사 > 검색으로 이동하여 짧은 기간에 걸쳐 YARA-L 쿼리를 실행합니다.
UDM 필드, 이벤트 유형, 통계 결과 변수가 깔끔하게 컴파일되고 예상 결과를 반환하는지 확인합니다.
단일 인스턴스에서 쿼리를 검증한 후 관리 인스턴스에서 조사 > 검색으로 이동하여 인스턴스 메뉴에서 대상 인스턴스 그룹을 선택하고 모든 관리 테넌트에서 검증된 쿼리를 실행합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.