Microsoft Windows Defender ATP 로그 수집

다음에서 지원:

이 문서에서는 Azure 스토리지 계정을 사용하여 Microsoft Windows Defender ATP 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 이 파서는 SYSLOG, XML, JSON 형식의 Windows Defender ATP 로그를 처리합니다. 이러한 형식의 다양한 필드를 통합 구조로 정규화하고 이벤트 세부정보, 사용자 데이터, 프로세스 정보, 네트워크 활동, 보안 결과와 같은 주요 정보를 추출하여 UDM에 매핑합니다. 파서는 EventID 및 ActionType에 따라 조건부 논리를 실행하여 이벤트를 분류하고 각 이벤트 유형과 관련된 특정 세부정보로 UDM을 보강합니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • 활성 Azure 구독이 있는지 확인합니다.
  • 전체 관리자 또는 Microsoft Defender 고급 위협 헌팅 역할이 있는지 확인합니다.
  • Azure 테넌트에 로그인하고 구독 > 내 구독 > 리소스 공급자 > Microsoft.Insights에 등록으로 이동합니다.

Azure 스토리지 계정 구성

  1. Azure 콘솔에서 스토리지 계정을 검색합니다.
  2. 만들기를 클릭합니다.
  3. 다음 입력 파라미터의 값을 지정합니다.
    • 구독: 구독을 선택합니다.
    • 리소스 그룹: 리소스 그룹을 선택합니다.
    • 리전: 리전을 선택합니다.
    • 성능: 성능을 선택합니다 (표준 권장).
    • 중복성: 중복성을 선택합니다 (GRS 또는 LRS 권장).
    • 스토리지 계정 이름: 새 스토리지 계정의 이름을 입력합니다.
  4. 검토 + 만들기를 클릭합니다.
  5. 계정 개요를 검토하고 만들기를 클릭합니다.
  6. 스토리지 계정 개요 페이지의 보안 + 네트워킹에서 하위 메뉴 액세스 키를 선택합니다.
  7. key1 또는 key2 옆에 있는 표시를 클릭합니다.
  8. 클립보드에 복사를 클릭하여 키를 복사합니다.
  9. 나중에 사용할 수 있도록 키를 안전한 위치에 저장합니다.
  10. 스토리지 계정 개요 페이지의 설정에서 하위 메뉴 엔드포인트를 선택합니다.
  11. 클립보드에 복사를 클릭하여 Blob 서비스 엔드포인트 URL(예: https://<storageaccountname>.blob.core.windows.net)을 복사합니다.
  12. 나중에 사용할 수 있도록 엔드포인트 URL을 안전한 위치에 저장합니다.

Windows Defender 고급 위협 헌팅 로그 내보내기 구성

  1. 전역 관리자 또는 보안 관리자로 security.microsoft.com에 로그인합니다.
  2. 설정 > Microsoft Defender XDR로 이동합니다.
  3. 스트리밍 API를 선택합니다.
  4. 추가를 클릭합니다.
  5. Azure Storage에 이벤트 전달을 선택합니다.
  6. 이전에 만든 스토리지 계정으로 이동합니다.
  7. 리소스 ID를 복사하여 스토리지 계정 리소스 ID에 입력합니다.
  8. 모든 이벤트 유형을 선택합니다.
  9. 저장을 클릭합니다.

Windows Defender Advanced Threat Hunting 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정> 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Defender ATP Logs).
  4. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  5. 로그 유형으로 Windows Defender ATP를 선택합니다.
  6. 다음을 클릭합니다.

  7. 다음 입력 매개변수의 값을 지정합니다.

    • Azure URI: blob 엔드포인트 URL입니다.
      • ENDPOINT_URL/BLOB_NAME
        • 다음을 바꿉니다.
        • ENDPOINT_URL: blob 엔드포인트 URL (https://<storageaccountname>.blob.core.windows.net)
        • BLOB_NAME: Blob의 이름입니다(예: <logname>-logs).

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.

    • 공유 키: Azure Blob Storage의 액세스 키입니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  8. 다음을 클릭합니다.

  9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
AccountName target.user.userid properties.AccountName이 있고 properties.InitiatingProcessAccountName이 비어 있는 경우 채워집니다.
AccountSid target.user.windows_sid properties.AccountSid이 있는 경우 채워집니다.
AccountType principal.user.attribute.labels 키: AccountType, 값: properties.AccountType
Action security_result.action_details properties.Action의 값입니다.
Action security_result.action properties.Action에 quarantine이 포함되면 값은 QUARANTINE입니다.
Action Name security_result.description EventID이 1117인 경우 security_result.description의 일부
AdditionalFields about.labels, principal.resource.attribute.labels 키: AdditionalFields, 값: properties.AdditionalFields (또는 JSON으로 파싱된 경우 AdditionalFields) properties.AdditionalFields (또는 JSON으로 파싱된 경우 AdditionalFields2)의 개별 키-값 쌍도 라벨로 추가됩니다.
AdditionalFields.ClientMachine principal.resource.attribute.labels 키: ClientMachine, 값: _AdditionalFields.ClientMachine
AdditionalFields.Command target.process.command_line ActionType이 PowerShellCommand인 경우에 사용됩니다.
AdditionalFields.Count read_only_udm.additional.fields 키: Count, 값: properties.AdditionalFields.Count
AdditionalFields.DesiredAccess principal.resource.attribute.labels 키: DesiredAccess, 값: _AdditionalFields.DesiredAccess
AdditionalFields.DnsQueryString network.dns.questions.name ActionType이 DnsQueryResponse인 경우에 사용됩니다.
AdditionalFields.DnsQueryResult network.dns.answers DNS 답변을 추출하기 위해 루프 내에서 파싱됩니다. Result은 name이 되고 DnsQueryType는 숫자 type에 매핑됩니다.
AdditionalFields.Experience security_result.threat_name properties.ActionType에 SmartScreen이 포함된 경우 사용됩니다.
AdditionalFields.FileOperation principal.resource.attribute.labels 키: FileOperation, 값: _AdditionalFields.FileOperation
AdditionalFields.InitiatingProcess principal.resource.attribute.labels 키: InitiatingProcess, 값: _AdditionalFields.InitiatingProcess
AdditionalFields.IsAudit principal.resource.attribute.labels 키: IsAudit, 값: _AdditionalFields.IsAudit
AdditionalFields.IsLocalLogon extensions.auth.mechanism 값이 true이면 auth_mechanism을 LOCAL로 설정합니다. false이면 REMOTE로 설정합니다.
AdditionalFields.IsRemoteMachine principal.resource.attribute.labels 키: IsRemoteMachine, 값: _AdditionalFields.IsRemoteMachine
AdditionalFields.NamedPipeEnd principal.resource.attribute.labels 키: NamedPipeEnd, 값: _AdditionalFields.NamedPipeEnd
AdditionalFields.PipeName principal.resource.attribute.labels 키: PipeName, 값: _AdditionalFields.PipeName
AdditionalFields.RemoteClientsAccess principal.resource.attribute.labels 키: RemoteClientsAccess, 값: _AdditionalFields.RemoteClientsAccess
AdditionalFields.SessionId principal.resource.attribute.labels 키: SessionId, 값: _AdditionalFields.SessionId
AdditionalFields.SignatureName security_result.rule_id properties.ActionType이 AntivirusDetection인 경우에 사용됩니다.
AdditionalFields.TaskName target.resource.name properties.ActionType에 Scheduled이 포함된 경우 사용됩니다.
AdditionalFields.ThreatName security_result.threat_name properties.ActionType이 AntivirusDetection인 경우에 사용됩니다.
AdditionalFields.ThreadId principal.resource.attribute.labels 키: ThreadId, 값: _AdditionalFields.ThreadId
AdditionalFields.TokenModificationProperties principal.resource.attribute.labels 키: TokenModificationProperties, 값: _AdditionalFields.TokenModificationProperties
AdditionalFields.TotalBytesCopied principal.resource.attribute.labels 키: TotalBytesCopied, 값: _AdditionalFields.TotalBytesCopied
AdditionalFields.WasExecutingWhileDetected about.labels, principal.resource.attribute.labels 키: WasExecutingWhileDetected, 값: _AdditionalFields.WasExecutingWhileDetected
AdditionalFields.WasRemediated security_result.action 값이 true이면 sr_action을 BLOCK로 설정합니다. false이면 ALLOW로 설정합니다.
AppGuardContainerId ApplicationId read_only_udm.additional.fields 키: ApplicationId, 값: properties.ApplicationId
category metadata.product_name category의 값입니다.
category metadata.product_event_type AdvancedHunting-이 삭제된 category의 값입니다.
City principal.location.city properties.City의 값입니다.
ClientIP principal.ip, principal.asset.ip properties.RawEventData.ClientIP 값이 유효한 IP 주소인 경우
ClientIPAddress principal.ip, principal.asset.ip properties.RawEventData.ClientIPAddress 값이 유효한 IP 주소인 경우
ClientInfoString read_only_udm.additional.fields 키: ClientInfoString, 값: properties.RawEventData.ClientInfoString
ClientProcessName read_only_udm.additional.fields 키: ClientProcessName, 값: properties.RawEventData.ClientProcessName
ClientRequestId read_only_udm.additional.fields 키: ClientRequestId, 값: properties.RawEventData.ClientRequestId
ClientVersion read_only_udm.additional.fields 키: ClientVersion, 값: properties.RawEventData.ClientVersion
ConnectedNetworks entity.asset.network_domain ConnectedNetworks 내의 Name 필드(있는 경우)
CountryCode principal.location.country_or_region properties.CountryCode의 값입니다.
CreationTime read_only_udm.additional.fields 키: CreationTime, 값: properties.RawEventData.CreationTime
Current Engine Version security_result.description EventID이 2000일 때 security_result.description의 일부
Current Signature Version security_result.description EventID이 2000일 때 security_result.description의 일부
DeliveryAction read_only_udm.additional.fields 키: DeliveryAction, 값: properties.DeliveryAction
DeliveryAction security_result.action properties.DeliveryAction에 Blocked이 포함되면 값은 BLOCK입니다.
DeliveryLocation read_only_udm.additional.fields 키: DeliveryLocation, 값: properties.DeliveryLocation
DestinationLocationType read_only_udm.additional.fields 키: DestinationLocationType, 값: properties.RawEventData.DestinationLocationType
DetectionMethods security_result.rule_name, security_result.detection_fields 따옴표가 삭제된 properties.DetectionMethods 값이 rule_name 및 detection_fields (키: Detection Method)이 됩니다.
Detection User principal.user.userid EventID가 1116 또는 1117인 경우 사용됩니다.
DeviceCategory entity.asset.category properties.DeviceCategory의 값입니다.
DeviceId principal.asset_id syslog/JSON 또는 XML을 파싱할 때 WINDOWS_DEFENDER: + DeviceId JSON을 파싱할 때 DeviceId: + properties.DeviceId
DeviceName principal.hostname, principal.asset.hostname DeviceName syslog/JSON 또는 XML을 파싱할 때 JSON을 파싱할 때 properties.DeviceName properties.RawEventData.DeviceName(있는 경우)
DeviceType read_only_udm.additional.fields 키: DeviceType, 값: properties.DeviceType
Domain principal.administrative_domain syslog/JSON 또는 XML을 파싱할 때 사용됩니다.
Dynamic Signature Compilation Timestamp security_result.description EventID이 2010년 또는 2011년인 경우 security_result.description의 일부입니다.
Dynamic Signature Type security_result.description EventID이 2010년 또는 2011년인 경우 security_result.description의 일부입니다.
Dynamic Signature Version security_result.description EventID이 2010년 또는 2011년인 경우 security_result.description의 일부입니다.
EmailClusterId read_only_udm.additional.fields 키: EmailClusterId, 값: properties.EmailClusterId
EmailDirection network.direction 값이 Inbound이면 INBOUND로 설정합니다. Outbound이면 OUTBOUND로 설정합니다. 그렇지 않으면 UNKNOWN_DIRECTION로 설정합니다.
EmailLanguage read_only_udm.additional.fields 키: EmailLanguage, 값: properties.EmailLanguage
Engine Version security_result.description EventID이 1011일 때 security_result.description의 일부입니다.
EnforcementMode read_only_udm.additional.fields 키: EnforcementMode, 값: properties.EnforcementMode
Error Code security_result.description EventID이 1117 또는 2001인 경우 security_result.description의 일부입니다.
Error Description security_result.description EventID이 1117 또는 2001인 경우 security_result.description의 일부입니다.
EventID metadata.product_event_type syslog/JSON 또는 XML을 파싱할 때 metadata.product_event_type의 일부입니다.
EventTime metadata.event_timestamp metadata.event_timestamp을 생성하기 위해 파싱됩니다.
ExchangeLocations security_result.category_details properties.RawEventData.ExchangeLocations의 값입니다.
ExternalAccess read_only_udm.additional.fields 키: ExternalAccess, 값: properties.RawEventData.ExternalAccess
FailureReason security_result.description ActionType이 LogonFailed일 때 properties.FailureReason의 값
FileExtension read_only_udm.additional.fields 키: FileExtension, 값: properties.RawEventData.FileExtension
FileName about.file.full_path category에 EmailAttachmentInfo가 포함된 경우 properties.FileName의 값입니다. 그 외의 경우 target.process.file.full_path를 사용합니다.
FileSize target.process.file.size 부호 없는 정수로 변환된 properties.FileSize 값입니다.
FileSize about.file.size category에 EmailAttachmentInfo가 포함된 경우 부호 없는 정수로 변환된 properties.FileSize 값입니다.
FileSize principal.process.file.size 부호 없는 정수로 변환된 properties.RawEventData.FileSize 값입니다.
FileType about.file.mime_type category에 EmailAttachmentInfo가 포함된 경우 properties.FileType의 값입니다. 그 외의 경우 target.process.file.mime_type를 사용합니다.
FileType read_only_udm.additional.fields 키: FileType, 값: 비어 있지 않은 경우 properties.RawEventData.FileType 또는 Unknown
FolderPath target.file.full_path properties.FolderPath의 값입니다.
FolderPath target.process.file.full_path ActionType이 CreateRemoteThreadApiCall, ExploitGuardNonMicrosoftSignedBlocked, DriverLoad, FileRenamed, OpenProcessApiCall, ReadProcessMemoryApiCall, ImageLoaded 또는 properties.ActionType인 경우 FolderPath의 값은 FileCreatedOnNetworkShare입니다.
Hidden read_only_udm.additional.fields 키: Hidden, 값: properties.RawEventData.Hidden
Hostname principal.hostname, principal.asset.hostname syslog/JSON 또는 XML을 파싱할 때 사용됩니다.
IPAddresses entity.asset.ip IPv6 링크-로컬, IPv4 APIPA, IPv6 루프백, IPv6 멀티캐스트, 루프백 주소를 제외한 IPAddresses 배열의 각 객체 내 IPAddress 필드
IPAddress principal.ip, principal.asset.ip properties.IPAddress 값이 유효한 IP 주소인 경우
IPCategory read_only_udm.additional.fields 키: IPCategory, 값: properties.IPCategory
IPTags read_only_udm.additional.fields 키: IPTags, 값: properties.IPTags
ISP read_only_udm.additional.fields 키: ISP, 값: properties.ISP
InitiatingProcessAccountName principal.user.userid 이 값이 있고 properties.AccountName이 비어 있거나 둘 다 있는 경우 채워집니다.
InitiatingProcessAccountSid principal.user.windows_sid 이 값이 있고 properties.AccountSid이 비어 있거나 둘 다 있는 경우 채워집니다.
InitiatingProcessAccountUpn principal.user.email_addresses properties.InitiatingProcessAccountUpn의 값입니다.
InitiatingProcessCommandLine principal.process.command_line 따옴표가 삭제된 properties.InitiatingProcessCommandLine의 값입니다.
InitiatingProcessFileName principal.process.file.full_path properties.InitiatingProcessFileName의 값입니다.
InitiatingProcessFileSize principal.process.file.size 부호 없는 정수로 변환된 properties.InitiatingProcessFileSize 값입니다.
InitiatingProcessFolderPath principal.process.file.full_path properties.InitiatingProcessFolderPath의 값입니다.
InitiatingProcessId principal.process.pid 문자열로 변환된 properties.InitiatingProcessId 값입니다.
InitiatingProcessIntegrityLevel about.labels, principal.resource.attribute.labels 키: InitiatingProcessIntegrityLevel, 값: properties.InitiatingProcessIntegrityLevel
InitiatingProcessMD5 principal.process.file.md5 properties.InitiatingProcessMD5의 값입니다.
InitiatingProcessParentFileName principal.process.parent_process.file.full_path properties.InitiatingProcessParentFileName의 값입니다.
InitiatingProcessParentId principal.process.parent_process.pid 문자열로 변환된 properties.InitiatingProcessParentId 값입니다.
InitiatingProcessSHA1 principal.process.file.sha1 properties.InitiatingProcessSHA1의 값입니다.
InitiatingProcessSHA256 principal.process.file.sha256 properties.InitiatingProcessSHA256의 값입니다.
InitiatingProcessSignatureStatus read_only_udm.additional.fields 키: InitiatingProcessSignatureStatus, 값: properties.InitiatingProcessSignatureStatus
InitiatingProcessSignerType read_only_udm.additional.fields 키: InitiatingProcessSignerType, 값: properties.InitiatingProcessSignerType
InitiatingProcessTokenElevation about.labels, principal.resource.attribute.labels 키: InitiatingProcessTokenElevation, 값: properties.InitiatingProcessTokenElevation
InitiatingProcessVersionInfoCompanyName principal.user.company_name properties.InitiatingProcessVersionInfoCompanyName의 값입니다.
InitiatingProcessVersionInfoFileDescription principal.resource.attribute.labels 키: File Description, 값: properties.InitiatingProcessVersionInfoFileDescription
InitiatingProcessVersionInfoInternalFileName principal.resource.attribute.labels 키: File Name, 값: properties.InitiatingProcessVersionInfoInternalFileName
InitiatingProcessVersionInfoOriginalFileName principal.resource.attribute.labels 키: Original File Name, 값: properties.InitiatingProcessVersionInfoOriginalFileName
InitiatingProcessVersionInfoProductName read_only_udm.additional.fields 키: InitiatingProcessVersionInfoProductName, 값: properties.InitiatingProcessVersionInfoProductName
InitiatingProcessVersionInfoProductVersion metadata.product_version properties.InitiatingProcessVersionInfoProductVersion의 값입니다.
InternetMessageId read_only_udm.additional.fields 키: InternetMessageId, 값: properties.InternetMessageId(각괄호 삭제됨)
IsAdminOperation read_only_udm.additional.fields 키: IsAdminOperation, 값: properties.IsAdminOperation
IsAnonymousProxy read_only_udm.additional.fields 키: IsAnonymousProxy, 값: properties.IsAnonymousProxy
IsExternalUser read_only_udm.additional.fields 키: IsExternalUser, 값: properties.IsExternalUser
IsImpersonated read_only_udm.additional.fields 키: IsImpersonated, 값: properties.IsImpersonated
IsLocalAdmin about.labels, principal.resource.attribute.labels 키: IsLocalAdmin, 값: properties.IsLocalAdmin의 불리언 값에 따라 true 또는 false
LoggedOnUsers target.user.userid, entity.relations.entity.user.userid LoggedOnUsers 배열의 각 객체 내에 있는 UserName 필드가 target.user.userid 및 관련 사용자 항목으로 추가됩니다. Sid 필드가 entity.relations.entity.user.windows_sid로 추가됩니다.
LocalIP principal.ip, principal.asset.ip JSON을 파싱할 때 LocalIP 값
LocalPort principal.port JSON을 파싱할 때 정수로 변환된 LocalPort 값입니다.
LogonType extensions.auth.mechanism 값에 따라 UDM 인증 메커니즘에 매핑됩니다.
LogonType read_only_udm.additional.fields 키: LogonType, 값: properties.RawEventData.LogonType
LogonUserSid read_only_udm.additional.fields 키: LogonUserSid, 값: properties.RawEventData.LogonUserSid
MacAddress entity.asset.mac 콜론으로 구분된 문자열로 형식이 지정된 MacAddress 또는 properties.MacAddress 값입니다.
MailboxGuid read_only_udm.additional.fields 키: MailboxGuid, 값: properties.RawEventData.MailboxGuid
MailboxOwnerMasterAccountSid read_only_udm.additional.fields 키: MailboxOwnerMasterAccountSid, 값: properties.RawEventData.MailboxOwnerMasterAccountSid
MailboxOwnerSid read_only_udm.additional.fields 키: MailboxOwnerSid, 값: properties.RawEventData.MailboxOwnerSid
MailboxOwnerUPN read_only_udm.additional.fields 키: MailboxOwnerUPN, 값: properties.RawEventData.MailboxOwnerUPN
MD5 target.process.file.md5 properties.MD5의 값입니다.
Message security_result.description EventID이 1000, 1001, 1002, 1013, 1116, 1117, 2000, 2001, 2002, 2010, 2011 또는 5007인 경우 security_result.description의 일부입니다.
NetworkAdapterType metadata.product_event_type JSON을 파싱할 때 NetworkAdapterType 값
NetworkMessageId network.email.mail_id properties.NetworkMessageId의 값입니다.
New Value security_result.description EventID이 5007인 경우 security_result.description의 일부입니다.
Object Name read_only_udm.additional.fields 키: ObjectName, 값: properties.ObjectName
Object Type read_only_udm.additional.fields 키: ObjectType, 값: properties.ObjectType
ObjectId read_only_udm.additional.fields 키: ObjectId, 값: properties.ObjectId 또는 properties.RawEventData.ObjectId
Old Value security_result.description EventID이 5007인 경우 security_result.description의 일부입니다.
Operation read_only_udm.additional.fields 키: Operation, 값: properties.RawEventData.Operation
operationName read_only_udm.additional.fields 키: OperationName, 값: operationName
OrganizationId read_only_udm.additional.fields 키: OrganizationId, 값: properties.RawEventData.OrganizationId
OrganizationName read_only_udm.additional.fields 키: OrganizationName, 값: properties.RawEventData.OrganizationName
OriginatingServer read_only_udm.additional.fields 키: OriginatingServer, 값: properties.RawEventData.OriginatingServer
OSPlatform asset.platform_software.platform 값에 macos이 포함된 경우 platform을 MAC로 설정합니다. windows이면 WINDOWS로 설정합니다. nix이면 LINUX로 설정합니다.
OSVersion asset.platform_software.platform_version properties.OSVersion의 값입니다.
Path target.file.full_path EventID이 1011 또는 1116인 경우 사용됩니다.
Persistence Limit Type security_result.description EventID이 2010년 또는 2011년인 경우 security_result.description의 일부입니다.
Persistence Limit Value security_result.description EventID이 2010년 또는 2011년인 경우 security_result.description의 일부입니다.
Persistence Path target.file.full_path EventID이 2010 또는 2011인 경우 사용됩니다.
Previous Engine Version security_result.description EventID이 2000, 2001 또는 2002인 경우 security_result.description의 일부입니다.
PreviousRegistryKey target.registry.registry_key properties.PreviousRegistryKey의 값입니다.
PreviousRegistryValueData target.resource.attribute.labels 키: PreviousRegistryValueData, 값: properties.PreviousRegistryValueData
PreviousRegistryValueName target.resource.attribute.labels 키: PreviousRegistryValueName, 값: properties.PreviousRegistryValueName
Previous security intelligence Version security_result.description EventID이 2001인 경우 security_result.description의 일부
Previous Signature Version security_result.description EventID이 2000일 때 security_result.description의 일부
ProcessCommandLine target.process.command_line properties.ProcessCommandLine의 값입니다.
ProcessID principal.process.pid syslog/JSON 또는 XML을 파싱할 때 사용됩니다.
ProcessId target.process.pid 문자열로 변환된 properties.ProcessId 값입니다.
Process Name target.process.pid EventID가 1116 또는 1117인 경우 사용됩니다.
Product Version metadata.product_version syslog/JSON 또는 XML을 파싱할 때 사용됩니다.
Protocol network.ip_protocol 값에 Tcp이 포함된 경우 TCP로 설정합니다. Udp이면 UDP로 설정합니다. Icmp이면 ICMP로 설정합니다.
ProviderGuid principal.resource.id syslog/JSON 또는 XML을 파싱할 때 사용됩니다.
PublicIP principal.ip, principal.asset.ip properties.PublicIP의 값입니다.
RawEventData.Application principal.application properties.RawEventData.Application의 값입니다.
RawEventData.ClientIP principal.ip, principal.asset.ip properties.RawEventData.ClientIP 값이 유효한 IP 주소인 경우
RawEventData.ClientIPAddress principal.ip, principal.asset.ip properties.RawEventData.ClientIPAddress 값이 유효한 IP 주소인 경우
RawEventData.ClientInfoString read_only_udm.additional.fields 키: ClientInfoString, 값: properties.RawEventData.ClientInfoString
RawEventData.ClientProcessName read_only_udm.additional.fields 키: ClientProcessName, 값: properties.RawEventData.ClientProcessName
RawEventData.ClientRequestId read_only_udm.additional.fields 키: ClientRequestId, 값: properties.RawEventData.ClientRequestId
RawEventData.ClientVersion read_only_udm.additional.fields 키: ClientVersion, 값: properties.RawEventData.ClientVersion
RawEventData.CreationTime read_only_udm.additional.fields 키: CreationTime, 값: properties.RawEventData.CreationTime
RawEventData.DeviceName principal.hostname, principal.asset.hostname properties.RawEventData.DeviceName의 값입니다.
RawEventData.DestinationLocationType read_only_udm.additional.fields 키: DestinationLocationType, 값: properties.RawEventData.DestinationLocationType
RawEventData.ExchangeLocations security_result.category_details properties.RawEventData.ExchangeLocations의 값입니다.
RawEventData.ExternalAccess read_only_udm.additional.fields 키: ExternalAccess, 값: properties.RawEventData.ExternalAccess
RawEventData.FileExtension read_only_udm.additional.fields 키: FileExtension, 값: properties.RawEventData.FileExtension
RawEventData.FileSize target.process.file.size 부호 없는 정수로 변환된 properties.RawEventData.FileSize 값입니다.
RawEventData.FileType read_only_udm.additional.fields 키: FileType, 값: 비어 있지 않은 경우 properties.RawEventData.FileType 또는 Unknown
RawEventData.Hidden read_only_udm.additional.fields 키: Hidden, 값: properties.RawEventData.Hidden
RawEventData.Id read_only_udm.additional.fields 키: RawEventDataId, 값: properties.RawEventData.Id
RawEventData.Item.Id item_idm.read_only_udm.additional.fields 키: RawEventDataItemId, 값: properties.RawEventData.item.id
RawEventData.LogonType read_only_udm.additional.fields 키: LogonType, 값: properties.RawEventData.LogonType
RawEventData.LogonUserSid read_only_udm.additional.fields 키: LogonUserSid, 값: properties.RawEventData.LogonUserSid
RawEventData.MailboxGuid read_only_udm.additional.fields 키: MailboxGuid, 값: properties.RawEventData.MailboxGuid
RawEventData.MailboxOwnerMasterAccountSid read_only_udm.additional.fields 키: MailboxOwnerMasterAccountSid, 값: properties.RawEventData.MailboxOwnerMasterAccountSid
RawEventData.MailboxOwnerSid read_only_udm.additional.fields 키: MailboxOwnerSid, 값: properties.RawEventData.MailboxOwnerSid
RawEventData.MailboxOwnerUPN read_only_udm.additional.fields 키: MailboxOwnerUPN, 값: properties.RawEventData.MailboxOwnerUPN
RawEventData.MDATPDeviceId read_only_udm.additional.fields 키: MDATPDeviceId, 값: properties.RawEventData.MDATPDeviceId
RawEventData.ObjectId read_only_udm.additional.fields 키: ObjectId, 값: properties.RawEventData.ObjectId
RawEventData.Operation read_only_udm.additional.fields 키: Operation, 값: properties.RawEventData.Operation
RawEventData.OrganizationId read_only_udm.additional.fields 키: OrganizationId, 값: properties.RawEventData.OrganizationId
RawEventData.OrganizationName read_only_udm.additional.fields 키: OrganizationName, 값: properties.RawEventData.OrganizationName
RawEventData.OriginatingServer read_only_udm.additional.fields 키: OriginatingServer, 값: properties.RawEventData.OriginatingServer
RawEventData.ParentFolder.Id read_only_udm.additional.fields 키: RawEventDataParentFolderId, 값: properties.RawEventData.ParentFolder.Id
RawEventData.Pid target.process.pid 문자열로 변환된 properties.RawEventData.Pid 값입니다.
RawEventData.Query read_only_udm.additional.fields 키: Query, 값: properties.RawEventData.Query
RawEventData.RecordType network.dns.questions.type 부호 없는 정수로 변환된 properties.RawEventData.RecordType 값입니다.
RawEventData.ResultStatus read_only_udm.additional.fields 키: ResultStatus, 값: properties.RawEventData.ResultStatus
RawEventData.Scope read_only_udm.additional.fields 키: Scope, 값: properties.RawEventData.Scope
RawEventData.SessionId network.session_id properties.RawEventData.SessionId의 값입니다.
RawEventData.Sha1 target.process.file.sha1 properties.RawEventData.Sha1의 값입니다.
RawEventData.Sha256 target.process.file.sha256 properties.RawEventData.Sha256의 값입니다.
RawEventData.TargetDomain target.hostname, target.asset.hostname properties.RawEventData.TargetDomain의 값입니다.
RawEventData.TargetFilePath target.file.full_path properties.RawEventData.TargetFilePath의 값입니다.
RawEventData.UserId principal.user.email_addresses properties.RawEventData.UserId이 이메일 주소인 경우의 값입니다.
RawEventData.UserKey read_only_udm.additional.fields 키: UserKey, 값: properties.RawEventData.UserKey
RawEventData.UserType read_only_udm.additional.fields 키: UserType, 값: properties.RawEventData.UserType
RawEventData.Version read_only_udm.additional.fields 키: Version, 값: properties.RawEventData.Version
RawEventData.Workload read_only_udm.additional.fields 키: Workload, 값: properties.RawEventData.Workload
RecipientEmailAddress network.email.to, target.user.email_addresses properties.RecipientEmailAddress의 값입니다.
RecipientObjectId target.user.product_object_id properties.RecipientObjectId의 값입니다.
RegistryKey target.registry.registry_key properties.RegistryKey의 값입니다.
RegistryValueData target.registry.registry_value_data properties.RegistryValueData의 값입니다.
RegistryValueName target.registry.registry_value_name properties.RegistryValueName의 값입니다.
Remediation User intermediary.user.userid EventID이 1117인 경우 사용됩니다.
RemoteDeviceName target.hostname, target.asset.hostname properties.RemoteDeviceName의 값입니다.
RemoteIP target.ip, target.asset.ip 비어 있지 않거나 -, null인 경우 properties.RemoteIP의 값입니다.
RemoteIPType about.labels, principal.resource.attribute.labels 키: RemoteIPType, 값: properties.RemoteIPType
RemotePort target.port 정수로 변환된 properties.RemotePort 값입니다.
RemoteUrl target.url properties.RemoteUrl의 값입니다. 호스트 이름이 포함된 경우 호스트 이름이 추출되어 target.hostname 및 target.asset.hostname에 매핑됩니다.
Removal Reason Value security_result.description EventID이 2011년인 경우 security_result.description의 일부입니다.
ReportId metadata.product_log_id 문자열로 변환된 properties.ReportId 값입니다.
Scan ID security_result.description EventID이 1000, 1001 또는 1002인 경우 security_result.description의 일부
Scan Parameters security_result.description EventID이 1000, 1001 또는 1002인 경우 security_result.description의 일부
Scan Resources target.file.full_path EventID이 1000일 때 사용됩니다.
Scan Time Hours security_result.description EventID이 1001일 때 security_result.description의 일부입니다.
Scan Time Minutes security_result.description EventID이 1001일 때 security_result.description의 일부입니다.
Scan Time Seconds security_result.description EventID이 1001일 때 security_result.description의 일부입니다.
Scan Type security_result.description EventID이 1000, 1001 또는 1002인 경우 security_result.description의 일부
Security intelligence Type security_result.description EventID이 2001인 경우 security_result.description의 일부
Security intelligence Version security_result.description EventID이 1011일 때 security_result.description의 일부입니다.
SenderDisplayName principal.user.user_display_name properties.SenderDisplayName의 값입니다.
SenderFromAddress network.email.from, principal.user.email_addresses properties.SenderFromAddress의 값입니다.
SenderFromDomain principal.administrative_domain properties.SenderFromDomain의 값입니다.
SenderIPv4 principal.ip, principal.asset.ip properties.SenderIPv4의 값입니다.
SenderIPv6 principal.ip, principal.asset.ip properties.SenderIPv6의 값입니다.
SenderMailFromAddress principal.user.attribute.labels 키: SenderMailFromAddress, 값: properties.SenderMailFromAddress
SenderMailFromDomain principal.user.attribute.labels 키: SenderMailFromDomain, 값: properties.SenderMailFromDomain
SenderObjectId principal.user.product_object_id properties.SenderObjectId의 값입니다.
Severity Name security_result.severity 값이 Low이면 LOW로 설정합니다. Moderate이면 MEDIUM로 설정합니다. High 또는 Severe이면 HIGH로 설정합니다.
Severity security_result.severity 값에 informational이 포함된 경우 INFORMATIONAL로 설정합니다. low이면 LOW로 설정합니다. medium이면 MEDIUM로 설정합니다. high이면 HIGH로 설정합니다. 그렇지 않으면 UNKNOWN_SEVERITY로 설정합니다.
Severity security_result.severity_details properties.Severity의 값입니다.
SHA1 target.process.file.sha1 properties.SHA1의 값입니다.
SHA256 target.process.file.sha256 properties.SHA256의 값입니다.
SHA256 about.file.sha256 category에 EmailAttachmentInfo가 포함된 경우 properties.SHA256의 값입니다.
Signature Type security_result.description EventID이 2000 또는 2010인 경우 security_result.description의 일부입니다.
SourceModuleName target.resource.name EventID이 2008인 경우에 사용됩니다.
Source Path security_result.description EventID이 2001인 경우 security_result.description의 일부
Subject network.email.subject properties.Subject의 값입니다.
Tenant read_only_udm.additional.fields 키: Tenant, 값: Tenant
tenantId observer.cloud.project.id, target.resource_ancestors.product_object_id tenantId 또는 properties.tenantId의 값입니다.
Threat ID security_result.threat_name EventID이 1011 또는 1116인 경우 security_result.threat_name의 일부
ThreatNames security_result.threat_name properties.ThreatNames의 값입니다.
Threat Types security_result.category 값이 Phish이면 security_result_category을 MAIL_PHISHING로 설정합니다. 그렇지 않으면 UNKNOWN_CATEGORY로 설정합니다.
Timestamp security_result.description EventID이 1013일 때 security_result.description의 일부입니다.
Timestamp metadata.event_timestamp metadata.event_timestamp을 생성하기 위해 파싱됩니다.
Timestamp entity.asset.system_last_update_time category이 AdvancedHunting-DeviceNetworkInfo일 때 properties.Timestamp의 값
Title security_result.threat_name properties.Title의 값입니다.
Update Source security_result.description EventID이 2001인 경우 security_result.description의 일부
Update State security_result.description EventID이 2001인 경우 security_result.description의 일부
Update Type security_result.description EventID이 2000 또는 2001인 경우 security_result.description의 일부입니다.
UserAgent network.http.user_agent properties.UserAgent의 값입니다.
UserAgentTags additional.fields properties.UserAgentTags 배열의 각 요소는 키가 UserAgentTags인 라벨로 추가됩니다.
Url target.url properties.Url의 값입니다.
UrlCount read_only_udm.additional.fields 키: UrlCount, 값: properties.UrlCount
UrlDomain target.hostname, target.asset.hostname properties.UrlDomain의 값입니다.
UrlLocation read_only_udm.additional.fields 키: UrlLocation, 값: properties.UrlLocation
User target.user.userid EventID이 1000, 1001, 1002, 1011, 1013, 2000, 2002인 경우 또는 Message에 \tUser:가 포함된 경우 사용됩니다.
UserID principal.user.userid EventID이 2010 또는 2011인 경우 사용됩니다.
(파서 로직) metadata.event_type 처음에는 GENERIC_EVENT로 설정되며 다른 필드와 로직에 따라 덮어쓰여집니다. 일반적인 값은 NETWORK_CONNECTION, PROCESS_LAUNCH, FILE_CREATION, FILE_MODIFICATION, USER_LOGIN, SCAN_HOST, SCAN_PROCESS, SYSTEM_AUDIT_LOG_WIPE, SETTING_MODIFICATION, FILE_DELETION, PROCESS_MODULE_LOAD, PROCESS_UNCATEGORIZED, STATUS_UPDATE, PROCESS_OPEN, NETWORK_DNS, FILE_MOVE, REGISTRY_CREATION, REGISTRY_DELETION, REGISTRY_MODIFICATION, SCHEDULED_TASK_CREATION, SCHEDULED_TASK_DELETION, SCHEDULED_TASK_MODIFICATION, SCAN_NETWORK, USER_UNCATEGORIZED입니다.
(파서 로직) metadata.vendor_name Microsoft로 설정합니다.
(파서 로직) metadata.product_name 처음에는 Windows Defender ATP로 설정되며 category 필드로 덮어쓸 수 있습니다.
(파서 로직) metadata.product_event_type 처음에는 GENERIC_EVENT로 설정되며 다른 필드와 로직에 따라 덮어쓰여집니다.
(파서 로직) metadata.product_version Product Version 또는 properties.InitiatingProcessVersionInfoProductVersion에 따라 설정됩니다.
(파서 로직) metadata.log_type WINDOWS_DEFENDER_ATP로 설정합니다.
(파서 로직) principal.resource.type syslog/JSON 또는 XML을 파싱할 때 PROVIDER로 설정합니다.
(파서 로직) target.resource_ancestors product_object_id이 tenantId로 설정된 단일 상위 항목을 포함합니다.
(파서 로직) security_result.summary EventID, properties.ActionType 또는 properties.Title 및 properties.Category에 따라 설정됩니다.
(파서 로직) security_result.description EventID 또는 properties.ActionType에 따라 다양한 필드에서 구성됩니다.
(파서 로직) security_result.action 처음에는 ALLOW로 설정되며 AdditionalFields.WasRemediated, ActionType 또는 Action Name에 따라 덮어쓰여질 수 있습니다.
(파서 로직) security_result.severity Severity Name 또는 properties.Severity에 따라 설정됩니다.
(파서 로직) security_result.category Threat Types에 따라 설정됩니다.
(파서 로직) network.direction RemoteIP, LocalIP 또는 EmailDirection에 따라 설정합니다.
(파서 로직) network.ip_protocol metadata.event_type이 NETWORK_CONNECTION인 경우 TCP로 설정합니다.
(파서 로직) network.session_id properties.RawEventData.SessionId에 따라 설정됩니다.
(파서 로직) network.http.user_agent properties.UserAgent에 따라 설정됩니다.
(파서 로직) network.email.mail_id properties.NetworkMessageId에 따라 설정됩니다.
(파서 로직) network.email.subject properties.Subject에 따라 설정됩니다.
(파서 로직) network.email.from properties.SenderFromAddress에 따라 설정됩니다.
(파서 로직) network.email.to properties.RecipientEmailAddress에 따라 설정됩니다.
(파서 로직) network.dns.questions.name AdditionalFields.DnsQueryString에 따라 설정됩니다.
(파서 로직) network.dns.questions.type properties.RawEventData.RecordType에 따라 설정됩니다.
(파서 로직) network.dns.answers AdditionalFields.DnsQueryResult에서 생성됩니다.
(파서 로직) extensions.auth.type ActionType이 LogonAttempted 또는 LogonSuccess인 경우 MACHINE로 설정합니다.
(파서 로직) extensions.auth.mechanism LogonType 또는 AdditionalFields.IsLocalLogon에 따라 설정됩니다.
(파서 로직) extensions.auth.auth_details properties.AuthenticationDetails에 따라 설정됩니다.
(파서 로직) entity.asset.asset_id WINDOWS: + DeviceId 또는 properties.DeviceId를 사용하여 구성됩니다.
(파서 로직) entity.asset.product_object_id DeviceId 또는 properties.DeviceId로 설정합니다.
(파서 로직) entity.asset.network_domain ConnectedNetworks에서 추출됨
(파서 로직) entity.asset.ip IPAddresses, _ipaddress, PublicIP 또는 LocalIP에 따라 설정합니다.
(파서 로직) entity.asset.mac MacAddress 또는 properties.MacAddress에 따라 설정됩니다.
(파서 로직) entity.asset.hostname DeviceName 또는 properties.DeviceName에 따라 설정됩니다.
(파서 로직) entity.asset.platform_software.platform OSPlatform에 따라 설정됩니다.
(파서 로직) entity.asset.platform_software.platform_version OSVersion에 따라 설정됩니다.
(파서 로직) entity.asset.category DeviceCategory에 따라 설정됩니다.
(파서 로직) entity.asset.type 기기 및 네트워크 정보 이벤트의 경우 WORKSTATION로 설정됩니다.
(파서 로직) entity.asset.system_last_update_time 네트워크 정보 이벤트의 경우 properties.Timestamp에 따라 설정됩니다.
(파서 로직) entity.relations LoggedOnUsers에서 생성됩니다.
(파서 로직) entity.metadata.entity_type 기기, 네트워크, 애셋 이벤트의 경우 ASSET로 설정됩니다.
(파서 로직) about.labels UDM 스키마에 직접 맞지 않는 다양한 필드의 라벨을 포함합니다.
(파서 로직) principal.user.attribute.labels 다양한 사용자 관련 필드의 라벨이 포함됩니다.
(파서 로직) principal.resource.attribute.labels 다양한 리소스 관련 필드의 라벨을 포함합니다.
(파서 로직) target.resource.resource_type 예약된 작업 이벤트의 경우 TASK로 설정하고 설정 수정 이벤트의 경우 SETTING로 설정합니다.
(파서 로직) target.resource.name SourceModuleName, AdditionalFields.TaskName 또는 _taskname에 따라 설정합니다.
(파서 로직) target.resource.product_object_id properties.ReportId에 따라 설정됩니다.
(파서 로직) target.resource_ancestors tenantId에 따라 설정됩니다.
(파서 로직) target.registry.registry_key RegistryKey, PreviousRegistryKey 또는 properties.RegistryKey에 따라 설정합니다.
(파서 로직) target.registry.registry_value_name RegistryValueName 또는 properties.RegistryValueName에 따라 설정됩니다.
(파서 로직) target.registry.registry_value_data RegistryValueData 또는 properties.RegistryValueData에 따라 설정됩니다.
(파서 로직) intermediary.user.userid Remediation User에 따라 설정됩니다.
(파서 로직) metadata.collected_timestamp 애셋 및 네트워크 정보 이벤트의 이벤트 타임스탬프로 설정됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.