genian-edr-threats
위협 관리 화면처럼 위협 목록을 최근 탐지 순으로 조회합니다.
genian-edr-threats [profile=값] [duration=값] [from=값] [to=값] [states=값] [types=값] [dsl=값]
- profile=값
- 선택. 지니안 EDR 접속 프로파일 이름입니다. 지정하지 않으면 모든 지니안 EDR 프로파일을 조회합니다.
- duration=값
- 선택. 현재 시각으로부터 일정 시간 범위 이내의 데이터로 한정합니다. s(초), m(분), h(시), d(일), mon(월) 단위로 지정합니다. 예를 들면, 10s는 현재 시각으로부터 10초 이전까지를 의미합니다.
- from=값
- 선택. yyyyMMddHHmmss 포맷으로 범위의 시작을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.
- to=값
- 선택. yyyyMMddHHmmss 포맷으로 범위의 끝을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.
- states=값
- 선택. 남길 상태를 쉼표로 구분해 지정합니다: new, inprogress, resolved. 지정하지 않으면 전부 조회합니다.
- types=값
- 선택. 남길 탐지 분류를 쉼표로 구분해 지정합니다. 예) Malware, XBA. 지정하지 않으면 전부 조회합니다.
- dsl=값
- 선택. 추가 조건입니다. genian-edr-search와 같이 Elasticsearch 필드명을 쓰는 루씬 질의문입니다. 예) HostName:"PC-01"
출력 필드
| 필드 | 타입 | 이름 | 설명 |
|---|---|---|---|
| threat_id | 문자열 | 위협 ID | 예: 5f1c9e3a7d2b48c6a0e4f81b3d9c2a76. 위협 ID. threat-id 옵션에 넣는 값 |
| detect_time | 날짜 | 탐지 시각 | 예: 2026-11-07 00:14:20. 위협이 탐지된 시각 |
| detect_type | 문자열 | 탐지 분류 | 예: XBA. Malware, XBA(이상행위) 등 |
| detect_sub_type | 문자열 | 탐지 세부분류 | 예: Exploit. 탐지 세부분류. 예) Exploit, MaliciousIP |
| state | 문자열 | 상태 | 예: new. new(신규), inprogress(진행), resolved(해결) |
| alert_decision | 문자열 | 판정 | 예: true. true(악성), false(안전), unknown(보류). 판정 전이면 없음 |
| level | 32비트 정수 | 심각도 | 예: 9. 3 위험, 2, 1, 9 정보. 해결된 위협은 100을 더한 값 |
| score | 32비트 정수 | 신뢰도 | 예: 80. 탐지 신뢰도(%) |
| host_name | 문자열 | 호스트명 | 예: DESKTOP-A1B2C3D. 위협이 탐지된 단말의 호스트명 |
| device_id | 문자열 | 단말 ID | 예: 0f8c2a4e-1b7d-4e5a-9c3f-2d6b8e1a7c45. 에이전트 단말 ID |
| ip | IP 주소 | IP | 예: 10.10.20.31. 단말 IP 주소 |
| auth_name | 문자열 | 사용자명 | 예: 홍길동. 단말의 인증 사용자명 |
| file_name | 문자열 | 파일명 | 예: powershell.exe. 탐지 대상 파일명 |
| file_path | 문자열 | 파일 경로 | 예: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe. 파일 경로 |
| md5 | 문자열 | MD5 | 예: 7b2e9c41d0a5f83e6c1b4d92a8f0e357. 파일 MD5 |
| sha256 | 문자열 | SHA256 | 예: 3f8a1c6e9b2d4f70a5c8e1b3d6f9a2c4e7b0d3f6a9c2e5b8d1f4a7c0e3b6d9f2. 파일 SHA256 |
| proc_name | 문자열 | 프로세스명 | 예: C:\Program Files\Vendor\Agent\agent.exe. 탐지를 일으킨 프로세스 |
| proc_guid | 문자열 | 프로세스 GUID | 예: 9C3E1A7F5B2D48E6A0F4C8B1D7E3925A6F0B12. 프로세스 GUID. genian-edr-search의 ProcGuid |
| cmd_line | 문자열 | 커맨드라인 | 예: "C:\Program Files\Vendor\Agent\agent.exe". 프로세스 커맨드라인 |
| rule_id | 문자열 | 룰 ID | 예: SuspiciousPowershellCommand. 탐지 룰 ID |
| rule_name | 문자열 | 룰 이름 | 예: 의심스러운 파워쉘 실행. 탐지 룰 이름 |
| remote_ip | IP 주소 | 원격 IP | 예: 203.0.113.24. 네트워크 탐지의 원격 주소 |
| remote_port | 32비트 정수 | 원격 포트 | 예: 443. 네트워크 탐지의 원격 포트. 그 밖에는 0 |
| dns_name | 문자열 | DNS 이름 | 예: update.example.com. 원격 주소의 도메인 |
| verdict | 문자열 | 분류 | 콘솔의 악성코드 분류 |
| assignee | 문자열 | 담당자 | 예: admin01. 위협 담당 콘솔 계정 |
| memo | 문자열 | 메모 | 위협에 남긴 메모 |
| tactic | 배열 | 전술 | 예: [Execution]. MITRE ATT&CK 전술 |
| title | 문자열 | 내용 | 예: powershell.exe. 위협 관리 목록이 위협을 부르는 이름. 파일, 프로세스 또는 원격 주소 |
| _time | 날짜 | 시각 | 예: 2026-11-07 00:14:20. 행의 대표 시각 |