genian-edr-search

Genian Insights E 콘솔의 Elasticsearch 인덱스를 조회합니다.

stats 옵션이 없으면 문서를 그대로 반환하고, 있으면 집계를 콘솔 서버에서 수행해 결과만 반환합니다. 반환 행 수는 limit 명령어로 제한합니다.

genian-edr-search [profile=값] [duration=값] [from=값] [to=값] [index=값] [dsl=값] [stats=값] [span=값] [terms-size=값]

profile=값: 선택. 지니안 EDR 접속 프로파일 이름. 생략하면 모든 지니안 EDR 프로파일을 조회합니다
duration=값: 선택. 현재 시각으로부터 조회할 기간. s(초), m(분), h(시), d(일), mon(월) 단위로 지정합니다. 예) 10m, 1d
from=값: 선택. 조회 시작 시각. yyyyMMddHHmmss 형식이며 뒷자리를 생략하면 0으로 채웁니다. 생략하면 하한 없이 조회합니다
to=값: 선택. 조회 끝 시각. yyyyMMddHHmmss 형식입니다. 생략하면 상한 없이 조회합니다
index=값: 선택. 조회할 인덱스. endpoint(기본값), threat, alert, uploadlist 중 하나
dsl=값: 선택. 루씬 질의문으로, 콘솔 검색창과 같은 문법입니다. 생략하면 전체 문서를 조회합니다
stats=값: 선택. <집계함수>[, <집계함수>…] [by <필드>[, <필드>…]] 형식으로 집계를 지정합니다. 집계 함수는 count, dc, sum, avg, min, max 중 하나입니다
span=값: 선택. 집계를 시간 구간으로 나눕니다. 예) 10m, 1h, 1d. stats 옵션과 함께 사용합니다
terms-size=값: 선택. by 필드마다 집계할 최대 그룹 수. 기본값 1000, 최대 9999이며 stats 옵션과 함께 사용합니다

출력 필드

stats 옵션이 없으면 조회한 인덱스의 문서 필드가 이름 그대로 출력되고, 다음 필드가 더해집니다.

필드	타입	이름	설명
_time	날짜	기준 시각	endpoint는 EventTime, threat와 alert는 DetectTime, uploadlist는 UploadTime

stats 옵션이 있으면 그룹 필드와 집계 결과가 출력됩니다.