Tachyon Total Security Self Protection

자체보호 이벤트 로그

#	Field	Type	Display name	Description
1	_time	DATE	시각
2	risk	STRING	위험도	LOW, MEDIUM, HIGH
3	hostname	STRING	호스트명
4	category	STRING	분류	자체보호
5	sub_category	STRING	소분류	자체보호
6	event_name	STRING	이벤트명
7	event_time	DATE	이벤트시각
8	guid	STRING	에이전트GUID
9	result	STRING	결과	차단, 허용
10	access_file	STRING	접근파일
11	target_file	STRING	대상파일
12	target_hash	STRING	대상파일해시
13	user_id	STRING	사용자ID	예: user1
14	user_name	STRING	사용자명	예: 홍길동
15	pc_name	STRING	PC명	예: DESKTOP-TEST001
16	group_name	STRING	그룹명	예: 테스트팀
17	group_family_name	STRING	그룹전체경로	예: 테스트기관@본부@부서@테스트팀
18	group_code	STRING	그룹코드	예: GRP001
19	ip_addrs	STRING	IP목록	예: 192.0.2.1@
20	local_ip	IP	로컬IP
21	local_mac	STRING	로컬MAC	예: AA:BB:CC:11:22:33
22	mac_addrs	STRING	MAC목록	예: AA:BB:CC:11:22:33@
23	serial_key	STRING	시리얼키	예: ABC10-AB2CD-00000-00000-E3456
24	event_code	LONG	이벤트코드
25	event_id	STRING	이벤트ID	예: T-327937-0
26	client_dt	DATE	클라이언트시각
27	client_dt_utc	INT	UTC오프셋
28	server_dt	DATE	서버시각
29	os_info	STRING	OS정보	예: Windows 10

활용 시나리오

PC별 자체보호 차단 횟수 통계

table *:TS_TACHYON*
| search _schema == "tachyon-total-security-self-protection" and result == "차단"
| search _time >= now() - 1h
| stats count by pc_name, user_name
| sort -count

해석: 자체보호 차단이 집중된 PC와 사용자를 파악합니다.