TippingPoint SMS Threat

침입탐지 이벤트

#	Field	Type	Display name	Description
1	_time	DATE	시각
2	action	STRING	대응	예: PERMIT, BLOCK
3	risk	STRING	위험도	LOW, MEDIUM, HIGH
4	signature	STRING	공격명	예: 0324 Invalid TCP Traffic
5	protocol	STRING	프로토콜	예: TCP (대문자 표기)
6	device_name	STRING	장치이름	예: test-ips
7	src_ip	IP	출발지IP	예: 192.0.2.1
8	src_port	PORT	출발지포트
9	src_zone	STRING	출발지영역	예: 1-1A
10	src_country	COUNTRY	출발지국가	GeoIP 조회로 보강. 예: KR
11	src_asn	STRING	출발지ASN	GeoIP 조회로 보강
12	dst_ip	IP	목적지IP	예: 192.0.2.2
13	dst_port	PORT	목적지포트
14	dst_zone	STRING	목적지영역	예: 1-1B
15	dst_country	COUNTRY	목적지국가	GeoIP 조회로 보강. 예: KR
16	dst_asn	STRING	목적지ASN	GeoIP 조회로 보강
17	event_count	INT	이벤트횟수
18	physical_port	INT	물리포트
19	vlan_id	INT	VLAN
20	policy_uuid	STRING	정책UUID	예: 00000000-0000-0000-0000-000000000000
21	sig_uuid	STRING	시그니처UUID	예: 00000000-0000-0000-0000-000000000000
22	taxonomy_id	LONG	분류체계ID

risk는 장비가 보고한 원본 심각도를 3단계로 변환한 값입니다. CEF 포맷은 심각도 0~3을 LOW, 4~6을 MEDIUM, 7~10을 HIGH로 매핑하고, Syslog 포맷은 0~1을 LOW, 2를 MEDIUM, 3~4를 HIGH로 매핑합니다.

src_country, src_asn, dst_country, dst_asn은 로그 원본에 포함되지 않으며 수집 모델의 GeoIP 조회 단계에서 채워집니다.