genian-edr-threat
위협 하나를 탐지 근거·룰과 함께 조회합니다.
genian-edr-threat [profile=값] threat-id=값
- profile=값
- 선택. 지니안 EDR 접속 프로파일 이름입니다. 지정하지 않으면 모든 지니안 EDR 프로파일을 조회합니다.
- threat-id=값
- 필수. 조회할 위협. genian-edr-threats의 threat_id
출력 필드
| 필드 | 타입 | 이름 | 설명 |
|---|---|---|---|
| threat_id | 문자열 | 위협 ID | 예: 5f1c9e3a7d2b48c6a0e4f81b3d9c2a76. 위협 ID. threat-id 옵션에 넣는 값 |
| detect_time | 날짜 | 탐지 시각 | 예: 2026-11-07 00:14:20. 위협이 탐지된 시각 |
| detect_type | 문자열 | 탐지 분류 | 예: XBA. Malware, XBA(이상행위) 등 |
| detect_sub_type | 문자열 | 탐지 세부분류 | 예: Exploit. 탐지 세부분류. 예) Exploit, MaliciousIP |
| state | 문자열 | 상태 | 예: new. new(신규), inprogress(진행), resolved(해결) |
| alert_decision | 문자열 | 판정 | 예: true. true(악성), false(안전), unknown(보류). 판정 전이면 없음 |
| level | 32비트 정수 | 심각도 | 예: 9. 3 위험, 2, 1, 9 정보. 해결된 위협은 100을 더한 값 |
| score | 32비트 정수 | 신뢰도 | 예: 80. 탐지 신뢰도(%) |
| host_name | 문자열 | 호스트명 | 예: DESKTOP-A1B2C3D. 위협이 탐지된 단말의 호스트명 |
| device_id | 문자열 | 단말 ID | 예: 0f8c2a4e-1b7d-4e5a-9c3f-2d6b8e1a7c45. 에이전트 단말 ID |
| ip | IP 주소 | IP | 예: 10.10.20.31. 단말 IP 주소 |
| auth_name | 문자열 | 사용자명 | 예: 홍길동. 단말의 인증 사용자명 |
| file_name | 문자열 | 파일명 | 예: powershell.exe. 탐지 대상 파일명 |
| file_path | 문자열 | 파일 경로 | 예: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe. 파일 경로 |
| md5 | 문자열 | MD5 | 예: 7b2e9c41d0a5f83e6c1b4d92a8f0e357. 파일 MD5 |
| sha256 | 문자열 | SHA256 | 예: 3f8a1c6e9b2d4f70a5c8e1b3d6f9a2c4e7b0d3f6a9c2e5b8d1f4a7c0e3b6d9f2. 파일 SHA256 |
| proc_name | 문자열 | 프로세스명 | 예: C:\Program Files\Vendor\Agent\agent.exe. 탐지를 일으킨 프로세스 |
| proc_guid | 문자열 | 프로세스 GUID | 예: 9C3E1A7F5B2D48E6A0F4C8B1D7E3925A6F0B12. 프로세스 GUID. genian-edr-search의 ProcGuid |
| cmd_line | 문자열 | 커맨드라인 | 예: "C:\Program Files\Vendor\Agent\agent.exe". 프로세스 커맨드라인 |
| rule_id | 문자열 | 룰 ID | 예: SuspiciousPowershellCommand. 탐지 룰 ID |
| rule_name | 문자열 | 룰 이름 | 예: 의심스러운 파워쉘 실행. 탐지 룰 이름 |
| remote_ip | IP 주소 | 원격 IP | 예: 203.0.113.24. 네트워크 탐지의 원격 주소 |
| remote_port | 32비트 정수 | 원격 포트 | 예: 443. 네트워크 탐지의 원격 포트. 그 밖에는 0 |
| dns_name | 문자열 | DNS 이름 | 예: update.example.com. 원격 주소의 도메인 |
| verdict | 문자열 | 분류 | 콘솔의 악성코드 분류 |
| assignee | 문자열 | 담당자 | 예: admin01. 위협 담당 콘솔 계정 |
| memo | 문자열 | 메모 | 위협에 남긴 메모 |
| tactic | 배열 | 전술 | 예: [Execution]. MITRE ATT&CK 전술 |
| title | 문자열 | 내용 | 예: powershell.exe. 위협 관리 목록이 위협을 부르는 이름. 파일, 프로세스 또는 원격 주소 |
| _time | 날짜 | 시각 | 예: 2026-11-07 00:14:20. 행의 대표 시각 |
| rule_description | 문자열 | 룰 설명 | 예: 파워쉘은 윈도우에서 기본적으로 제공되고 기능이 강력하기 때문에 악성코드에 의해 이용되는 경우가 많다. …. 탐지 룰 설명 |
| reason | 문자열 | 진단 사유 | 예: 파워쉘 커맨드라인 인자가 다음의 키워드를 포함한 경우 - 인터넷 상의 스크립트를 실행하는 옵션 …. 룰이 위협으로 보는 이유 |
| false_positives | 문자열 | 오진 가능성 | 예: 3rd Party 소프트웨어가 파워쉘을 Hidden으로 실행시키는 경우 간혹 오진 발생. 룰의 알려진 오진 사례 |
| indicators | 배열 | 탐지 지표 | 예: [<b>powershell.exe</b> 에 의한 <b>의심스러운 파워쉘 실행</b> 이상행위가 진단됨 (<b>80%</b>)]. 탐지 지표 설명 목록 |
| terminate_processes | 배열 | 이상행위 프로세스 | 예: [{proc_name=agent.exe, description=커맨드/스크립트를 실행한 프로세스의 부모 프로세스, …}, {proc_name=powershell.exe, description=의심 행위를 수행한 프로세스, …}]. 부모부터 의심 프로세스까지의 프로세스 체인 |
| suspicious_info_list | 배열 | 악성 파일 정보 | 예: []. 탐지가 의심한 파일 정보 |
| mitre_attack | 배열 | MITRE ATT&CK | 예: [{key=T1086, name=PowerShell, link=https://attack.mitre.org/techniques/T1086}]. 탐지의 기법과 링크 |