Tachyon Total Security Device Control

매체제어 이벤트 로그

#	Field	Type	Display name	Description
1	_time	DATE	시각
2	risk	STRING	위험도	LOW, MEDIUM, HIGH
3	hostname	STRING	호스트명
4	local_ip	IP	로컬IP
5	category	STRING	분류	매체제어
6	sub_category	STRING	소분류	이벤트, 매체 사용, 일반 USB 사용, HID 장치 관리
7	event_name	STRING	이벤트명
8	event_time	DATE	이벤트시각
9	group_name	STRING	그룹명	예: 테스트팀
10	user_name	STRING	사용자명	예: 홍길동
11	process_name	STRING	프로세스명
12	file_name	STRING	파일명	예: E:\jennifer
13	media_device_type	STRING	매체장치유형
14	access_type	STRING	접근유형	읽기, 쓰기, 읽기/쓰기
15	exception_management	STRING	예외관리	기본매체, 예외매체
16	result	STRING	결과	차단, 허용
17	vid	STRING	VID	예: 0781
18	guid	STRING	에이전트GUID
19	serial_no	STRING	시리얼번호
20	serial_key	STRING	시리얼키	예: ABC10-AB2CD-00000-00000-E3456
21	user_id	STRING	사용자ID	예: user1
22	pc_name	STRING	PC명	예: DESKTOP-TEST001
23	group_family_name	STRING	그룹전체경로	예: 테스트기관@본부@부서@테스트팀
24	group_code	STRING	그룹코드	예: GRP001
25	ip_addrs	STRING	IP목록	예: 192.0.2.1@
26	local_mac	STRING	로컬MAC	예: AA:BB:CC:11:22:33
27	mac_addrs	STRING	MAC목록	예: AA:BB:CC:11:22:33@
28	event_code	LONG	이벤트코드
29	event_id	STRING	이벤트ID	예: T-262401-9001
30	client_dt	DATE	클라이언트시각
31	client_dt_utc	INT	UTC오프셋
32	server_dt	DATE	서버시각
33	pid	STRING	PID	예: 5591
34	os_info	STRING	OS정보	예: Windows 10

활용 시나리오

최근 1시간 매체 차단 이벤트 목록

table *:TS_TACHYON*
| search _schema == "tachyon-total-security-device-control" and result == "차단"
| search _time >= now() - 1h
| fields event_time, hostname, user_name, pc_name, media_device_type, access_type
| sort -event_time

해석: 최근 차단된 매체 접근 시도의 사용자·PC·장치 유형·접근 방식을 확인합니다.