정규화 변경 이력
AWS 앱 업데이트로 로그 정규화 필드가 바뀐 이력입니다. 정규화가 바뀐 버전으로 업데이트하면 이전 버전에서 수집한 데이터와 필드 이름이나 값의 의미가 달라지므로, 기존 쿼리와 탐지 규칙을 확인하세요.
변경은 업데이트 이후 수집한 로그부터 적용되며, 이미 수집한 로그는 바뀌지 않습니다.
1.11.2610.0
AWS Network Firewall
| 원본 로그 항목 | 1.10.2607.1 이하 | 1.11.2610.0 이후 |
|---|---|---|
| firewall_name (방화벽 이름) | bucket_name | firewall_name |
| availability_zone (가용 영역) | region | availability_zone |
| 수집기 설정의 S3 버킷 이름 | 저장 안 함 | bucket_name |
| S3 경로의 방화벽 리전 | 저장 안 함 | region |
| event.alert.action | action (allowed, blocked) | action (DETECT, BLOCK) |
| event.alert.action 원본 값 | 저장 안 함 (action에 원본 저장) | raw_action (allowed, blocked) |
| event.timestamp (이벤트 발생 시각) | timestamp (_time은 수집 시각) | timestamp, _time |
bucket_name, region은 수집기가 추가하는 필드입니다.
Caution
bucket_name, region, action은 필드 이름이 같지만 1.10.2607.1 이하와 1.11.2610.0 이후의 값 의미가 다릅니다. 업데이트 전후 데이터가 같은 테이블에 섞여 있으면 조회 결과를 잘못 해석할 수 있습니다.
업데이트 후 아래 항목을 확인하세요.
- 방화벽 이름이나 가용 영역을 bucket_name, region으로 조회하던 쿼리와 탐지 규칙은 firewall_name, availability_zone으로 바꿉니다.
- action을 allowed, blocked로 조회하던 쿼리와 탐지 규칙은 DETECT, BLOCK으로 바꾸거나 raw_action으로 조회합니다.
- 업데이트 시점을 걸쳐 조회·집계할 때는 업데이트 시점을 기준으로 조회 구간을 나눕니다.
- _time 기준이 바뀌어 같은 시간 범위로 조회해도 업데이트 전후 결과 범위가 다를 수 있습니다.
- 사용자 정의 수집 모델에서 다른 수집기와 AWS Network Firewall 파서를 함께 사용하는 경우에도 필드 이름과 action 값 변경이 적용되며, bucket_name, region은 생성되지 않습니다.