시작하기
이 페이지는 접속 프로파일 등록부터 위협 처리까지의 전체 절차를 순서대로 설명합니다. 각 화면의 상세 사용법은 해당 매뉴얼을 참고하십시오.
1. 연동 전용 계정 생성
Genian Insights E 콘솔에서 앱이 사용할 관리자 계정을 생성합니다.
앱은 콘솔에 강제 로그인합니다. 사용자가 사용하는 계정을 함께 사용하면 한쪽이 로그인할 때마다 다른 쪽의 세션이 종료됩니다. 세션 충돌을 방지하려면 연동 전용 계정을 별도로 생성하십시오.
콘솔에서 2단계 인증을 사용하는 경우, 연동 계정으로 콘솔에 한 번 로그인하여 Google OTP를 등록합니다. 등록 마법사의 3단계에 표시되는 비밀 키를 기록해 두십시오. 이 키는 등록 이후에는 다시 확인할 수 없으며, 2단계에서 접속 프로파일에 입력합니다.
사용할 수 없습니다. 콘솔에 접속 IP 제한이 설정되어 있으면 로그프레소 서버 IP를 허용 목록에
추가해야 합니다.
2. 접속 프로파일 등록
로그프레소에서 유형이 지니안 EDR인 접속 프로파일을 추가합니다.
- 엔드포인트 URL - 콘솔 주소입니다. 예)
https://hostname:8443 - 사용자 ID / 비밀번호 - 1에서 생성한 계정입니다
- OTP 비밀 키 - 2단계 인증을 사용하는 경우에만 입력합니다. 1에서 기록한 base32 비밀 키입니다
OTP 비밀 키를 입력하면 앱이 로그인할 때마다 인증 코드를 생성하여 응답합니다. 코드는 로그프레소 서버가 아닌 콘솔 서버의 시각을 기준으로 생성되므로 두 서버의 시각 차이와 관계없이 동작합니다.
앱 화면은 등록된 지니안 EDR 접속 프로파일 중 첫 번째 프로파일을 사용합니다. 화면에서 프로파일을 선택하는 기능은 없으므로 하나의 콘솔에 대해 하나의 프로파일을 등록하십시오.
비밀번호를 변경하면 앱은 다음 요청부터 변경된 값으로 다시 로그인합니다. 로그인에 실패하면 30초 동안 재시도하지 않습니다. 위협 모니터링 화면은 여러 위젯을 동시에 조회하고 위협 관리의 자동 갱신은 1분마다 목록을 조회하므로, 잘못된 비밀번호로 매번 로그인을 시도하면 콘솔이 계정을 잠그기 때문입니다.
3. 위협 현황 확인
위협 → 위협 모니터링을 엽니다.
상단에서 OS와 기간을 선택하면 모든 위젯이 해당 범위로 갱신됩니다. 신규 위협 건수, 다수 단말에 분포된 악성코드, 위협이 집중된 단말을 한 화면에서 확인할 수 있습니다.
TOP 10 목록에서 항목 이름을 클릭하면 해당 위협으로 필터링된 위협 관리 화면으로 이동합니다. 선택한 기간도 함께 적용됩니다.
4. 처리 대상 선별
위협 → 위협 관리에서 처리할 위협을 선별합니다.
- 왼쪽 상태 카드(신규, 처리중, 해결됨, 전체)로 처리 상태를 선택합니다
- 상단의 Malware, XBA 체크박스로 탐지 엔진을 선택합니다
- 검색창에
필드:값형식으로 조건을 추가합니다
행을 클릭하면 하단 패널에 위협 요약이 표시됩니다. 상세 분석이 필요한 위협은 위협 분석 버튼을 클릭합니다.
5. 위협 상세 분석
위협 분석 화면은 네 개의 탭으로 구성됩니다.
| 탭 | 내용 |
|---|---|
| 기본 정보 | 탐지 지표, 위협 탐지 근거, 파일 정보, 외부 링크 |
| 단말별 탐지 정보 | 동일 위협이 탐지된 단말 목록 |
| 분석 지표 | 해당 위협과 함께 탐지된 행위 지표와 TTP |
| 공격 스토리 라인 | 프로세스 관계를 그래프로 표시하여 공격 경과를 추적 |
공격 스토리 라인에서 노드를 클릭하면 해당 프로세스의 네트워크 연결, 파일, 레지스트리 이벤트가 오른쪽 패널에 표시됩니다.
6. 이벤트 검증
탐지 근거를 추가로 확인해야 하면 조사 → 이벤트 조사에서 해당 단말의 이벤트를 조회합니다.
예를 들어 의심 프로세스의 네트워크 통신 내역은 다음과 같이 조회합니다.
7. 위협 처리
위협 분석 화면 오른쪽의 위협 관리 패널에서 위협을 처리합니다.
- 처리 상태 - 신규, 처리중, 해결됨
- 위협 판정 - 실제 위협 여부
- 대응 정책 - 동일 위협이 다시 탐지될 때 적용할 대응
- 동일 위협 자동 해결 - 동일 위협이 다시 탐지되면 해결됨으로 처리할지 여부
- 메모 - 판단 근거
확인을 클릭하면 콘솔에 반영되고 하단 히스토리에 기록됩니다. 콘솔과 동일한 위협 정보를 사용하므로 어느 쪽에서 처리하든 양쪽에 동일하게 반영됩니다.
8. 대응 요청
위협 분석 화면 상단의 버튼으로 단말에 작업을 요청합니다.
| 버튼 | 기능 |
|---|---|
| 파일 수집 요청 | 위협 파일을 단말에서 수집합니다 |
| 상세 분석 요청 | 수집한 파일을 분석기로 전송합니다 |
| 아티팩트 수집 | 단말의 아티팩트를 수집합니다 |
| 파일 복원 | 격리된 파일을 원래 위치로 복원합니다 |
버튼은 위협 유형과 진행 상태에 따라 해당하는 항목만 표시됩니다. 예를 들어 악성 IP 탐지는 수집 대상 파일이 없으므로 파일 수집 요청과 아티팩트 수집 버튼이 표시되지 않습니다.
수집된 파일은 조사 → 수집 관리에서 다운로드합니다.
다음 페이지는 위협 모니터링입니다.