genian-edr-storyline
위협의 공격 스토리라인을 행으로 조회합니다. 부모 프로세스, 시작 프로세스, 그리고 프로세스마다 이벤트 묶음과 자식 프로세스 순입니다.
genian-edr-storyline [profile=값] threat-id=값
- profile=값
- 선택. 지니안 EDR 접속 프로파일 이름입니다. 지정하지 않으면 모든 지니안 EDR 프로파일을 조회합니다.
- threat-id=값
- 필수. 조회할 위협. genian-edr-threats의 threat_id
출력 필드
| 필드 | 타입 | 이름 | 설명 |
|---|---|---|---|
| role | 문자열 | 역할 | 예: parent. parent, start, child, file, registry, module, network 중 하나 |
| depth | 32비트 정수 | 깊이 | 예: -1. 시작 프로세스 0, 부모는 음수(-1이 직계 부모), 자식은 양수 |
| proc_guid | 문자열 | 프로세스 GUID | 예: 9C3E1A7F5B2D48E6A0F4C8B1D7E3925A6F0B12. 행이 가리키는 프로세스 GUID |
| parent_proc_guid | 문자열 | 부모 GUID | 예: 4A7D2E9C1F5B38A6E0D4C7B2F9A1E8360D5C27. 위 프로세스의 GUID. 트리를 복원하는 키 |
| event_sub_type | 문자열 | 이벤트 세부 유형 | 예: ProcessStart. 행 또는 묶음의 이벤트 세부 유형 |
| count | 32비트 정수 | 건수 | 예: 2095. 이벤트 묶음의 이벤트 수 |
| hit_count | 32비트 정수 | 생성 횟수 | 예: 47. 부모가 이 자식을 만든 횟수 |
| direction | 문자열 | 방향 | 예: outgoing. network 묶음의 outgoing, incoming, listening |
| conn_count | 32비트 정수 | 연결 수 | 예: 12. network 묶음의 연결 수 |
| process_count | 32비트 정수 | 프로세스 이벤트 수 | 예: 71. 프로세스의 프로세스 이벤트 수 |
| network_count | 32비트 정수 | 네트워크 이벤트 수 | 예: 23. 프로세스의 네트워크 이벤트 수 |
| file_count | 32비트 정수 | 파일 이벤트 수 | 예: 2095. 프로세스의 파일 이벤트 수 |
| registry_count | 32비트 정수 | 레지스트리 이벤트 수 | 예: 67. 프로세스의 레지스트리 이벤트 수 |
| module_count | 32비트 정수 | 모듈 이벤트 수 | 예: 0. 프로세스의 모듈 이벤트 수 |
| detected | 배열 | 탐지 | 예: [process, file]. 탐지가 있는 프로세스의 이벤트 유형 |
| event_time | 날짜 | 이벤트 시각 | 예: 2026-11-07 00:14:20. 행이 보여 주는 이벤트 시각 |
| proc_name | 문자열 | 프로세스명 | 예: agent.exe. 프로세스 이름 |
| proc_path | 문자열 | 프로세스 경로 | 예: C:\Program Files\Vendor\Agent\agent.exe. 프로세스 경로 |
| pid | 32비트 정수 | PID | 예: 12276. 프로세스 ID |
| cmd_line | 문자열 | 커맨드라인 | 예: "C:\Program Files\Vendor\Agent\agent.exe" -p 1. 프로세스 커맨드라인 |
| proc_user_id | 문자열 | 프로세스 사용자 | 예: NT AUTHORITY\SYSTEM. 프로세스 실행 계정 |
| md5 | 문자열 | MD5 | 예: 7b2e9c41d0a5f83e6c1b4d92a8f0e357. 프로세스 또는 파일의 MD5 |
| file_name | 문자열 | 파일명 | 예: setup.exe. 파일·모듈 이벤트의 파일명 |
| file_path | 문자열 | 파일 경로 | 파일 경로 |
| reg_key_path | 문자열 | 레지스트리 키 | 레지스트리 이벤트의 키 |
| remote_ip | IP 주소 | 원격 IP | 예: 203.0.113.24. 네트워크 이벤트의 원격 주소 |
| remote_port | 32비트 정수 | 원격 포트 | 예: 443. 네트워크 이벤트의 원격 포트 |
| dns_name | 문자열 | DNS 이름 | 예: update.example.com. 원격 주소의 도메인 |
| detect_type | 문자열 | 탐지 분류 | 예: XBA. 탐지된 이벤트의 탐지 분류 |
| tag | 문자열 | 태그 | 예: ServiceStart. 이벤트의 행위 태그 |
| _time | 날짜 | 시각 | 예: 2026-11-07 00:14:20. 행의 대표 시각 |