지니안 EDR

이벤트 조사는 엔드포인트 에이전트가 기록한 행위 이벤트를 검색하고, 이벤트를 발생시킨 프로세스의 실행 관계를 추적하는 화면입니다. 위협 분석에서 확인한 탐지 근거를 검증하거나, 탐지되지 않은 행위를 직접 찾을 때 사용합니다.

화면 구성

탭

탭마다 검색어, 기간, 이벤트 타입, 검색필터가 따로 유지됩니다. 다른 탭으로 전환했다가 돌아와도 이전 결과가 그대로 표시됩니다.

• + 버튼을 클릭하면 빈 탭이 추가됩니다
• Ctrl 키를 누른 채 + 버튼을 클릭하면 현재 탭의 조건을 복사한 탭이 추가됩니다
• 탭은 최대 5개까지 열 수 있습니다
• 탭 제목에는 해당 탭의 검색어가 표시됩니다

이벤트 검색

검색어

검색창에 검색어를 입력하고 Enter를 누릅니다. 입력 형식에 따라 검색 방식이 달라집니다.

powershell.exe
192.168.10.25
EventSubType:ProcessStart AND ProcName:powershell.exe
RemoteIP:"203.0.113.7" AND RemotePort:443

필드명을 입력하면 자동완성 목록이 표시되고, 필드: 다음에는 현재 기간과 이벤트 타입에 해당하는 값이 표시됩니다. 검색어를 새로 실행하면 검색필터의 선택이 초기화됩니다.

이벤트 타입

도구 모음의 Process, File, Module, Network, Registry 버튼으로 조회할 이벤트 타입을 선택합니다. 버튼을 클릭할 때마다 선택과 해제가 전환되며, 선택한 타입만 조회됩니다.

기간

기간 선택기로 조회 기간을 지정합니다. 사용 방법은 사용 매뉴얼의 기간 선택을 참고하십시오.

검색 기록과 즐겨찾기

검색창 오른쪽의 검색 기록 버튼을 클릭하면 최근 검색 기록과 즐겨찾기가 표시됩니다.

최근 검색 기록은 사용 중인 브라우저에 저장됩니다. 즐겨찾기는 콘솔의 개인 설정에 저장되므로 콘솔 계정을 따라갑니다.

즐겨찾기 버튼(별 모양)을 클릭하면 현재 검색 조건을 즐겨찾기로 저장합니다. 이름과 쿼리를 입력하며, 이벤트 타입과 기간은 현재 값이 저장됩니다. 현재 조건이 이미 저장된 즐겨찾기이면 별이 노란색으로 표시되고, 클릭하면 편집 창이 열려 이름과 쿼리를 수정하거나 삭제할 수 있습니다. 같은 이름의 즐겨찾기는 저장할 수 없습니다.

검색필터

왼쪽 검색필터는 현재 검색 결과를 필드 값별 건수로 표시합니다. 값을 클릭하면 해당 값으로 결과가 좁혀지고, 전체를 클릭하면 해당 필드의 선택이 해제됩니다.

• 필드마다 값 하나를 선택하며, 여러 필드의 선택은 AND 조건으로 결합됩니다
• 값을 클릭해도 다른 필드의 건수는 바뀌지 않습니다. 건수는 검색어, 이벤트 타입, 기간을 변경하거나 새로 고침을 클릭할 때 다시 집계됩니다
• 돋보기 아이콘을 클릭하면 해당 필드의 값을 검색할 수 있습니다

머리글의 설정 메뉴에서 다음 기능을 사용합니다.

도구 모음의 검색필터 버튼으로 검색필터를 표시하거나 숨깁니다.

타임차트

이벤트 목록 위의 타임차트는 조회 기간의 이벤트 건수를 시간 구간별로 표시합니다. 막대는 이벤트 타입별 색으로 구분됩니다.

• 차트에서 구간을 드래그하면 해당 구간으로 기간이 좁혀집니다. 이전 버튼을 클릭하면 좁히기 전 기간으로 돌아갑니다
• 좌우 화살표를 클릭하면 동일한 길이의 이전, 다음 기간으로 이동합니다

도구 모음의 타임차트 버튼으로 타임차트를 표시하거나 숨깁니다.

이벤트 목록

컬럼 머리글을 클릭하면 해당 컬럼으로 정렬됩니다. 행에 마우스를 올리면 이벤트 요약 전체가 도움말로 표시됩니다. 한 페이지에 표시할 행 수는 10, 30, 50, 100개 중에서 선택합니다.

값으로 검색 조건 추가

목록의 셀 값이나 이벤트 요약의 링크를 다음과 같이 클릭하여 검색 조건을 추가합니다.

설정 메뉴

도구 모음 오른쪽의 설정 버튼에서 다음 기능을 사용합니다.

엑셀 내보내기와 원본 내보내기는 현재 정렬 순서로 최대 5,000건을 저장합니다.

ATT&CK 매트릭스

도구 모음의 ATT&CK 버튼을 클릭하면 현재 검색 결과를 MITRE ATT&CK 매트릭스로 표시합니다. 매트릭스는 이벤트 목록 위에 표시되며, 버튼을 다시 클릭하면 닫힙니다.

• 상단에 해당하는 전술 수, 기법 수, 이벤트 수가 표시됩니다
• 이벤트가 있는 기법은 주황색으로 강조되고 건수가 표시됩니다
• 하위 기법이 있는 기법은 (이벤트가 있는 하위 기법 수/전체 하위 기법 수)를 표시하며, 화살표를 클릭하면 하위 기법이 펼쳐집니다

전술, 기법, 하위 기법 이름이나 이벤트 수를 클릭하면 해당 조건이 검색어에 AND로 추가되고 매트릭스가 닫히며 검색이 실행됩니다.

OS를 선택한 상태에서 클릭하면 OS:"Windows" AND 와 같이 OS 조건이 함께 추가됩니다.

이벤트 상세정보

목록에서 행을 클릭하면 오른쪽에 이벤트 상세정보가 표시됩니다. 해당 이벤트를 발생시킨 프로세스를 중심으로 상위 프로세스와 하위 프로세스, 관련 이벤트를 스토리 라인 그래프로 표시합니다.

• 노드를 클릭하면 노드 상세 패널에 수행 정보, 위협 정보, 이벤트, 파일 정보, 엔드포인트 정보가 표시됩니다
• 그래프 모서리의 타임차트 버튼을 클릭하면 스토리 라인에 포함된 프로세스의 이벤트를 차트와 목록으로 표시합니다. 목록에서 행을 클릭하면 노드 상세 패널이 해당 이벤트로 바뀝니다. 다시 클릭하면 그래프로 돌아갑니다

차트 설정 버튼에서 그래프 구성을 변경합니다. 옵션을 변경하면 그래프가 다시 구성됩니다.

제목 표시줄의 버튼으로 표시 방식을 변경합니다.

노드 상세 패널의 작업

노드 상세 패널의 이벤트 목록에서 이벤트를 펼치면 작업선택 메뉴가 표시됩니다. 메뉴는 이벤트에 따라 해당하는 항목만 표시됩니다.

샘플 수집을 요청하면 수집 관리 화면으로 이동할지 묻습니다. 이동을 클릭하면 해당 파일명으로 검색된 수집 관리 화면이 열립니다. 수집에는 시간이 소요되며 실패할 수 있습니다.

다른 화면에서 이벤트 조사 열기

위협 관리, 위협 분석, 노드 상세 패널에서 프로세스명, 파일명, 해시, IP 값을 클릭하면 메뉴가 표시됩니다. 이벤트 조사에서 … 검색을 클릭하면 해당 값을 키워드로 검색한 이벤트 조사 창이 열립니다. 기간은 해당 이벤트 시각의 전후 1일로 지정됩니다.

메뉴의 나머지 항목은 콘솔에서만 사용할 수 있으며 비활성으로 표시됩니다.

다음 페이지는 수집 관리입니다.