위협 관리
위협 관리는 탐지된 위협을 목록으로 조회하고 처리 상태별로 관리하는 화면입니다. 목록에서 위협을 선택하면 하단 패널에 위협 요약이 표시되므로, 대부분의 위협은 화면을 이동하지 않고 판단할 수 있습니다.
화면 구성
| 영역 | 설명 |
|---|---|
| 상단 | 검색창, 기간 선택, 자동 갱신, 전체화면, 새로 고침 |
| 필터 행 | 탐지 엔진 선택과 위험도별 건수 |
| 왼쪽 | 처리 상태 카드 |
| 가운데 | 위협 목록 |
| 하단 | 선택한 위협의 상세 패널 |
목록과 하단 패널 사이의 경계를 드래그하여 두 영역의 높이를 조절할 수 있습니다.
위협 필터링
처리 상태
왼쪽 카드에서 신규, 처리중, 해결됨, 전체 중 하나를 선택합니다. 각 카드에는 해당 상태의 위협 건수가 표시됩니다.
카드를 선택해도 다른 카드의 건수는 바뀌지 않습니다. 목록만 선택한 상태로 필터링되고, 카드에는 조회 기간 전체의 상태별 건수가 계속 표시됩니다.
탐지 엔진
필터 행의 Malware와 XBA 체크박스로 탐지 엔진을 선택합니다. 체크박스 옆에 엔진별 건수가 표시됩니다. 오른쪽에는 위험도(High, Medium, Low, Unknown)별 건수가 표시됩니다.
검색 조건
검색창에 필드:값 형식으로 조건을 입력합니다. 필드명을 입력하면 자동완성 목록이 표시되고,
필드: 다음에는 해당 필드에 존재하는 값이 표시됩니다. 화살표 키로 항목을 선택하여 Enter로 입력하고,
Enter를 한 번 더 누르면 검색합니다.
DetectType:XBA AND Score:[80 TO 100]
DetectSubType:MaliciousIP AND HostName:DESKTOP-01
MD5:"c82596900f3cf50d6a4111fc9f9bfb51"
powershell처럼 단어만입력하면 결과가 표시되지 않으므로
FileName:powershell.exe와 같이 필드를 지정하십시오.
자동 갱신과 전체화면
| 버튼 | 기능 |
|---|---|
| 자동 갱신 | 1분마다 목록을 다시 조회합니다. 다시 클릭하면 해제됩니다 |
| 전체화면 | 위협 관리 화면을 전체화면으로 표시합니다 |
| 새로 고침 | 현재 조건으로 목록을 다시 조회합니다 |
위협 목록
| 컬럼 | 설명 |
|---|---|
| (색 막대) | 위험도를 색으로 표시합니다 |
| 신뢰도 | 탐지 점수(%)입니다 |
| 탐지 시각 | 위협이 마지막으로 탐지된 시각입니다 |
| 탐지 분류 / 탐지 세부분류 | 탐지 엔진과 세부 유형입니다 |
| 내용 | 탐지 대상과 탐지 사유입니다 |
| 담당자 / 위협 판정 / 상태 | 위협 처리 정보입니다 |
| 사용자 IP / 사용자명 | 위협이 탐지된 단말입니다 |
| 대응 | 적용된 대응 정책입니다 |
| 액션 | 위협 분석 버튼으로 위협 분석 화면을 엽니다 |
한 페이지에 표시할 행 수는 30, 50, 100개 중에서 선택합니다.
하단 상세 패널
목록에서 행을 클릭하면 하단에 상세 패널이 표시됩니다.
위협 요약
왼쪽에는 위협 요약이 표시됩니다. 항목은 위협 유형에 따라 해당하는 것만 표시됩니다.
| 항목 | 내용 |
|---|---|
| 탐지 지표 | 탐지 유형과 탐지 내용 |
| 탐지 엔진 | 탐지 엔진과 세부 유형 |
| 수행 프로세스 | 위협을 발생시킨 프로세스 |
| 이벤트 시각 / 이벤트 | 위협의 근거가 된 이벤트 |
| 커맨드라인 | 프로세스 실행 명령 |
| 요약 내용 | 탐지 규칙의 설명과 탐지 사유 |
| MITRE ATT&CK | 이상행위(XBA)에 해당하는 공격 기법 |
| 검사 방법 / 진단 패턴 버전 | 탐지에 사용된 검사 방식과 진단 패턴의 버전 |
| 자동 대응 정책 / 위협 판정 / 대응 정책 / 처리 상태 / 담당자 | 위협 처리 정보 |
| 최초 탐지시각 / 최종 탐지시각 | 위협이 처음, 마지막으로 탐지된 시각 |
커맨드라인 오른쪽의 </> 아이콘을 클릭하면 인코딩 변환기가 열립니다. Base64, URL, Unicode,
Hex로 인코딩된 명령을 디코딩하여 실제 내용을 확인할 수 있습니다.
상세 탭
오른쪽 탭은 위협 유형에 따라 해당하는 탭만 표시되며, 표시된 첫 번째 탭이 선택됩니다.
| 탭 | 표시 조건 | 내용 |
|---|---|---|
| 이상행위 프로세스 | 이상행위(XBA) 중 대응 대상 프로세스가 있는 경우 | 상위 프로세스부터 대상 프로세스까지의 실행 관계 |
| 네트워크 연결 정보 | 악성 IP 탐지 | 프로토콜, 통신 방향, 통신 결과, 로컬과 원격 주소의 연결 도식 |
| 의심파일 정보 | 이상행위(XBA) 중 의심 파일이 있는 경우 | 파일명, 경로, 형식, 크기 |
| 악성파일 정보 | 악성코드 탐지 | 파일명, 경로, 형식, 크기 |
| 해시 목록 | 악성 IP가 아니고 해시가 있는 경우 | MD5, SHA-1, SHA-256 등 |
| 엔드포인트 | 항상 | 단말의 호스트명, IP, OS, 에이전트 버전, 마지막 통신 시각 등 |
| 외부 링크 | 조회할 수 있는 링크가 있는 경우 | VirusTotal 등 외부 위협 정보 사이트 링크 |
외부 링크 목록은 콘솔 설정을 따릅니다. 네트워크 이벤트는 IP 기준 링크를, 그 외는 해시와 파일명 기준 링크를 표시합니다.
다음 페이지는 위협 분석입니다.