Sophos XGS ATP

Sophos XGS ATP(Advanced Threat Protection) 탐지 로그

#	필드명	타입	표시명	설명
1	_time	DATE	시각	이벤트 발생 시각
2	event_time	DATE	이벤트시각	파서 단계에서 사용하는 원본 타임스탬프(ISO 8601). 대부분 _time으로 변환되어 저장됨
3	device_name	STRING	장치이름	장치(어플라이언스) 이름
4	device_model	STRING	장치모델	장치 모델명
5	device_serial_id	STRING	장치일련번호	장치 일련번호
6	log_id	STRING	로그ID	12자리 로그 식별자(유형 2 + 컴포넌트 2 + 서브유형 2 + 심각도 1 + 메시지ID 5)
7	log_type	STRING	로그유형	로그 유형. 항상 "ATP"
8	log_component	STRING	로그컴포넌트	탐지 지점. Firewall/DNS/IPS/Web 중 하나
9	log_subtype	STRING	로그서브유형	탐지 상태. 예: Log destination match, Drop local source match
10	log_version	INT	로그버전	로그 포맷 버전
11	severity	STRING	심각도	벤더 원본 심각도 값(Warning/Notification/Information). 정규화 안 함
12	user	STRING	계정	이벤트를 발생시킨 사용자 계정명
13	user_group	STRING	사용자그룹	사용자가 속한 그룹명
14	src_port	PORT	출발지포트	출발지 포트 번호
15	dst_port	PORT	목적지포트	목적지 포트 번호
16	src_ip	IP	출발지IP	출발지(클라이언트) IP 주소
17	dst_ip	IP	목적지IP	목적지 IP 주소
18	protocol	STRING	프로토콜	네트워크 프로토콜(대문자). 예: TCP
19	src_country	COUNTRY	출발지국가	출발지 국가 코드
20	dst_country	COUNTRY	목적지국가	목적지 국가 코드
21	src_zone_type	STRING	출발지존유형	출발지 존 유형. 예: LAN
22	src_zone	STRING	출발지존	출발지 존 이름
23	dst_zone_type	STRING	목적지존유형	목적지 존 유형. 예: WAN
24	dst_zone	STRING	목적지존	목적지 존 이름
25	url	URL	URL	목적지 정보. IP 주소·도메인·URL 중 하나의 문자열 형태
26	malware	STRING	악성코드	탐지된 위협(악성코드) 이름
27	event_id	STRING	이벤트ID	이벤트 고유 식별자
28	event_type	STRING	이벤트유형	이벤트 유형. Standard 또는 Extended
29	reported_user	STRING	보고사용자	호스트에 로그인된 사용자
30	proc_user	STRING	프로세스사용자	프로세스를 실행한 호스트 사용자
31	reported_id	STRING	보고ID	엔드포인트 ID
32	file_path	STRING	파일경로	실행 파일 경로
33	threat_feed	STRING	위협피드	위협 탐지에 사용된 위협 피드 이름(Central Reporting Format)
34	priority	STRING	우선순위	벤더 원본 우선순위(심각도) 값(Device Standard Format). Warning/Notification/Information
35	threat_name	STRING	위협이름	탐지된 위협 이름(Device Standard Format)
36	login_user	STRING	로그인사용자	호스트에 로그인된 사용자(Device Standard Format)
37	process_user	STRING	프로세스사용자	프로세스를 실행한 호스트 사용자(Device Standard Format)
38	ep_uuid	STRING	엔드포인트UUID	엔드포인트 고유 식별자(UUID)
39	execution_path	STRING	실행경로	실행 파일 경로(Device Standard Format)