안랩 EPP

파서 개선

• CEF 로그타입 6종 추가(EDR_ALERT_DETECT, EDR_INOUT_FLOW, APRM_AGENT_EVENT, APRM_PRIVACY_INFO_EVENT, APRM_PRIVACY_LEAKAGE_EVENT, APRM_PRINT_EVENT)
• JSON 로그타입 16종 추가(AGENT_CONNECTION_STATUS_EVENT, AGENT_EVENT, AGENT_HW_ALL, AGENT_INSTALL_PKG_EVENT, AGENT_SW_ALL, AGENT_TASK_STATUS, APM_AGENT_EVENT, APM_PATCH, APM_SW, AUDIT_EVENT, PATCH_UPDATE_EVENT, PKG_DIST_EVENT, SERVICE_EVENT, UPDATE_EVENT, V3_INTERNET, V3_SCAN, V3_SUP)
• MAC 주소 정규화 개선
• 시간값 처리 성능 개선
• log_string_args 배열 처리 추가
• 파일 경로 이스케이프 처리 개선
• 코드 맵핑류 타입 변환 오류 개선

쿼리명령어 개선

• 쿼리 명령어 추가 및 옵션 보완
• ahnlab-epp-query : 인터페이스 ID 기반 DB Query 조회 (신규)
• ahnlab-epp-nodes : interface-id 옵션 추가 (변경)
• ahnlab-epp-match-node : interface-id 옵션 추가 (변경)
• ahnlab-epp-search-file-result : interface-id 옵션 추가 및 에러 응답 처리 개선 (변경)
• 타임아웃 설정 추가
• 자원 정리 로직 개선
• 오류 처리 로깅 보완

스키마/모델/리소스 개선

• 신규 로그스키마 6종 추가 및 수집 모델 반영
• APrM 관련 로그 템플릿 추가

탐지 시나리오 일부 수정

• 권한상승 취약점 공격 탐지: Exploit/Win.MagicLineX 예외 조건 추가
• 채굴 악성코드 탐지: 룰 이름 변경
• 피싱 탐지: 불필요한 예외 조건 첫번째 search 명령 제거

MITRE ATT&CK TTP 탐지 시나리오 13종 추가

CEF 필드에 형변환이 필요한 빈 값이 있을 때 발생하는 오류 개선

지원 로그유형(로그포맷) 추가

• EDR_V3_DETECT (CEF)
• EDR_AGENT_EVENT (CEF)
• EDR_OS_EVENT (CEF)
• AGENT_TASK_STATUS (CEF)
• AGENT_SW_ALL (CEF)
• AGENT_HW_ALL (CEF)
• SERVICE_EVENT (JSON)
• AUDIT_EVENT (JSON)
• ESA_EVENT (JSON)
• V3_MALWARE (JSON) - 필드 추가

EPP 확장쿼리 명령어에서 profile 매개변수 지원

변경 사항

• EDR_POWER_SHELL 로그의 CEF 형식 불일치(이스케이프 누락)를 교정하여 파싱하도록 파서 개선

CEF 형식 로그 파서, 수집 모델, 대시보드 추가

• 안랩 EPP 1.0.14 버전 지원
• 악성코드 경고, EDR 인시던트, EDR 파워쉘, V3 감사, APM 감사, EPPM 감사 대시보드 추가
• 11종 로그 스키마 지원
• 24종 로그 포맷 지원
  • EPP 서버 감사: AUDIT_EVENT, SERVICE_EVENT, UPDATE_EVENT, BACKUP_EVENT, PKG_DIST_EVENT, PKG_SYNC_EVENT, AGENT_INSTALL_PKG_EVENT, PATCH_UPDATE_EVENT
  • EPP 에이전트 감사: AGENT_EVENT
  • EPP 에이전트 연결 상태: AGENT_CONNECTION_STATUS_EVENT
  • ESA 에이전트 감사: ESA_EVENT, ESA_AGENT_EVENT
  • V3 악성코드 경고: V3_MALWARE
  • V3 감사: V3_INTERNET, V3_SCAN, V3_SUP
  • APM 감사: APM_AGENT_EVENT, APM_PATCH, APM_PROCESS, APM_SW
  • EDR 인시던트: EDR_INCIDENT_DETECT
  • EDR 타임라인: EDR_TIMELINE_EVENT
  • EDR 파워쉘: EDR_POWER_SHELL
  • EDR 로그: EDR_LOG

첫번째 릴리즈. 다음 명령어를 지원합니다:

• ahnlab-epp-ack-unknown
• ahnlab-epp-block-network-result
• ahnlab-epp-collect-ahnreport-result
• ahnlab-epp-collect-file-result
• ahnlab-epp-match-node
• ahnlab-epp-nodes
• ahnlab-epp-search-file-result
• ahnlab-epp-start-block-network
• ahnlab-epp-start-collect-ahnreport
• ahnlab-epp-start-collect-file
• ahnlab-epp-start-search-file
• ahnlab-epp-start-unblock-network
• ahnlab-epp-start-v3-scan
• ahnlab-epp-tasks
• ahnlab-epp-unblock-network-result
• ahnlab-epp-unknown-behaviors
• ahnlab-epp-unknown-detail
• ahnlab-epp-unknowns
• ahnlab-epp-v3-scan-result