nbb-contents
쿼드마이너 네트워크 블랙박스에서 컨텐츠를 검색합니다.
nbb-contents [profile=PROFILE] [duration=NUM{mon|w|d|h|m|s}] [from=yyyyMMddHHmmss] [to=yyyyMMddHHmmss] [src-ip=SRC-IP] [src-port=SRC-PORT] [dst-ip=DST-IP] [dst-port=DST-PORT] [md5=MD5] [sha1=SHA1] [sha256=SHA256]
- profile=PROFILE
- 쿼드마이너 네트워크 블랙박스 접속 프로파일 식별자
- duration=NUM{mon|w|d|h|m|s}
- 현재 시각으로부터 일정 시간 범위 이내의 컨텐츠로 한정. s(초), m(분), h(시), d(일), mon(월) 단위로 지정할 수 있습니다. 예를 들면, 10s의 경우 현재 시각으로부터 10초 이전까지의 범위를 의미합니다.
- from=yyyyMMddHHmmss
- yyyyMMddHHmmss 포맷으로 범위의 시작을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.
- to=yyyyMMddHHmmss
- yyyyMMddHHmmss 포맷으로 범위의 끝을 지정합니다. 뒷자리를 쓰지 않으면 0으로 채워집니다.
- src-ip=SRC-IP
- 출발지 IP 주소로 검색합니다.
- src-port=SRC-PORT
- 출발지 포트로 검색합니다.
- dst-ip=DST-IP
- 목적지 IP 주소로 검색합니다.
- dst-port=DST-PORT
- 목적지 포트로 검색합니다.
- md5=MD5
- MD5 해시 값으로 검색합니다.
- sha1=SHA1
- SHA-1 해시 값으로 검색합니다.
- sha256=SHA256
- SHA-256 해시 값으로 검색합니다.
출력 필드
필드 | 타입 | 이름 | 설명 |
---|---|---|---|
_time | 날짜 | 시각 | 세션 생성 시각 |
profile | 문자열 | 접속 프로파일 | 네트워크 블랙박스 접속 프로파일 식별자 |
device_ip | IP 주소 | 장비 IP | |
device_id | 32비트 정수 | 장비 ID | 예: 5900 |
session_id | 32비트 정수 | 세션 ID | 예: 11807 |
hash | 64비트 정수 | 해시 | 세션 고유 식별자. 예: 3742031626 |
src_ip | IP 주소 | 출발지 IP | |
src_port | 32비트 정수 | 출발지 포트 | |
dst_ip | IP 주소 | 목적지 IP | |
dst_port | 32비트 정수 | 목적지 포트 | |
host | 문자열 | 호스트 | 예: naver.com |
category | 문자열 | 분류 | 예: cloud |
action | 문자열 | 행위 | 예: download |
signature | 문자열 | 룰 이름 | 예: naver.com(cloud) - Download file |
detect_rule_names | 배열 | 탐지 룰 이름 목록 | |
host_id | 32비트 정수 | 호스트 ID | |
extract_rule_id | 32비트 정수 | 추출 룰 ID | |
created | 날짜 | 생성 일시 | |
query | 문자열 | 검색어 | 검색엔진 등 검색 키워드 |
mail_subject | 문자열 | 메일 제목 | |
mail_from | 문자열 | 보낸 사람 | |
mail_to | 문자열 | 받는 사람 | |
files | 배열 | 파일 목록 | 각 배열 요소는 uuid, file_name, file_size, file_type_name, md5, sha256 포함 |