지니안 EDR | 위협 분석 | 로그프레소 스토어

위협 분석은 위협 한 건의 탐지 근거, 영향 범위, 공격 경과를 확인하고 위협을 처리하는 화면입니다. 위협 관리 목록의 위협 분석 버튼이나 위협 모니터링의 최근 탐지 위협을 클릭하면 열립니다.

화면 구성

위협의 탐지 근거와 대상 파일 정보를 표시합니다.

영역	내용
탐지 지표	위협을 구성하는 탐지 항목과 각 항목의 설명
위협 정보	수행 프로세스, 이벤트 시각, 커맨드라인, 요약 내용, MITRE ATT&CK
위협 탐지 근거	탐지 규칙의 조건과, 그 조건에 일치한 이벤트의 실제 값
위협 관리 정보	자동 대응 정책, 위협 판정, 대응 정책, 처리 상태, 담당자
탐지 시각	최초 탐지시각과 최종 탐지시각
이상행위 프로세스 / 의심파일 정보	이상행위(XBA)인 경우 대응 대상 프로세스의 실행 관계와 의심 파일
네트워크 연결 정보 / 악성파일 정보	악성코드인 경우 통신 정보 또는 파일 정보
파일 상세정보	제품명, 버전, 회사명, 아키텍처, 전자서명 검증 결과
외부 링크	외부 위협 정보 사이트 링크

위협 탐지 근거에서 탐지 규칙의 조건과 일치한 이벤트 값을 나란히 비교하면 위협이 어떤 근거로 탐지되었는지 확인할 수 있습니다.

동일한 위협이 탐지된 단말 목록을 표시합니다. 위협이 한 단말에 한정된 것인지, 여러 단말로 확산된 것인지 확인할 때 사용합니다.

검색창에 IP, 사용자, 부서명, 호스트명, DeviceID를 입력하여 단말을 찾을 수 있습니다. 목록 하단의 더 보기를 클릭하면 단말이 10개씩 추가로 표시됩니다.

영역	내용
연관 위협 지표	해당 위협과 함께 탐지된 위협 지표의 건수
연관 행위 지표 / TTPs	해당 위협과 연관된 행위 지표와 공격 기법을 빈도에 비례한 크기로 표시

위협과 관련된 프로세스의 실행 관계를 그래프로 표시합니다. 상위 프로세스에서 위협 프로세스까지, 그리고 위협 프로세스가 실행한 하위 프로세스까지를 따라가며 공격이 어떻게 진행되었는지 확인합니다.

영역	내용
수행 정보	프로세스명, 경로, 커맨드라인, 실행 계정, 실행 시각
위협 정보	해당 노드에서 탐지된 위협과 탐지 근거
이벤트	해당 프로세스가 발생시킨 파일, 레지스트리, 네트워크, 모듈 이벤트
파일 정보	실행 파일의 해시, 크기, 전자서명
엔드포인트 정보	단말의 호스트명, IP, OS, 에이전트 정보

네트워크 이벤트는 로컬 주소와 원격 주소 사이의 연결을 도식으로 표시하며, 통신 방향이 화살표로 나타납니다.

이벤트 목록에서 이벤트를 펼치면 작업선택 메뉴로 프로세스 덤프 파일 생성, 프로세스 강제종료, 샘플 수집을 요청할 수 있습니다. 자세한 내용은 이벤트 조사의 노드 상세 패널의 작업을 참고하십시오.

오른쪽 위협 관리 패널에서 위협을 처리합니다. 패널은 접어 둘 수 있으며, 접은 상태에서는 현재 처리 상태가 표시됩니다.

항목	설명
처리 상태	신규, 처리중, 해결됨 중 하나를 선택합니다
위협 판정	실제 위협 여부를 선택합니다
대응 정책	동일 위협이 다시 탐지될 때 적용할 대응을 선택합니다
동일 위협 자동 해결	선택하면 동일 위협이 다시 탐지될 때 해결됨으로 처리합니다
메모	판단 근거를 기록합니다

버튼	기능
확인	입력한 내용을 콘솔에 반영합니다
초기화	처리 상태를 신규로 되돌리고 위협 판정, 대응 정책, 자동 해결, 담당자를 모두 삭제합니다
취소	처리중인 위협을 신규로 되돌립니다. 위협 판정과 대응 정책 등 나머지 처리 정보는 유지됩니다

처리 내역은 패널 하단의 히스토리에 시간 순으로 기록됩니다.

상단 버튼으로 단말에 작업을 요청합니다. 버튼은 위협 유형과 진행 상태에 따라 해당하는 항목만 표시됩니다.

버튼	표시 조건	기능
파일 수집 요청	해시가 있고 악성 IP가 아닌 위협	위협 파일을 단말에서 수집합니다
상세 분석 요청	해시가 있고 악성 IP가 아닌 위협	수집한 파일을 분석기로 전송합니다
아티팩트 수집	단말 에이전트가 수집 준비를 마친 위협. 악성 IP와 백신 탐지는 제외	단말의 아티팩트를 수집합니다
파일 복원	격리된 악성코드	격리된 파일을 원래 위치로 복원합니다

요청이 진행 중이면 버튼에 진행 상태가 표시되며, 완료되면 재수집이나 재분석을 요청할 수 있습니다. 수집된 파일은 수집 관리에서 다운로드합니다.

다음 페이지는 이벤트 조사입니다.