Working with detectors
출처: 문서
본문
탐지기 작업하기
탐지기를 생성하면 시스템에 저장된 다른 탐지기와 함께 위협 탐지기 페이지에 나타나요. 그런 다음 각 탐지기에 대해 세부 정보 편집부터 상태 변경까지 여러 작업을 수행할 수 있어요. 사용 가능한 작업에 대한 설명은 다음 섹션을 참조하세요.
{: width="60%" }
위협 탐지기 목록
위협 탐지기 목록에는 검색 창, 상태 드롭다운 목록, 로그 유형 드롭다운 목록이 포함되어 있어요.
- 검색 창을 사용하여 탐지기 이름으로 필터링하세요.
- 상태 드롭다운 목록을 선택하여 목록의 탐지기를 활성 및 비활성 상태로 필터링하세요.
- 로그 유형 드롭다운 목록을 선택하여 목록에 나타나는 모든 로그 유형으로 탐지기를 필터링하세요(옵션은 목록에 있는 탐지기와 해당 로그 유형에 따라 달라져요).
탐지기 편집하기
탐지기를 편집하려면 목록의 탐지기 이름 열에 있는 탐지기 링크를 선택하세요. 탐지기 세부 정보 창이 열리고 탐지기 구성에 대한 세부 정보가 표시돼요.
{: width="50%" }
- 창의 왼쪽 상단 부분에서 세부 정보 창은 탐지기의 이름과 상태(활성 또는 비활성)를 보여줘요.
- 창의 오른쪽 상단 모서리에서 알림 보기를 선택하여 알림 창으로 이동하거나 결과 보기를 선택하여 결과 창으로 이동할 수 있어요. 또한 작업을 선택하여 탐지기에 대한 작업을 수행할 수 있어요. 탐지기 작업을 참조하세요.
- 창의 아래쪽 부분에서 편집 버튼을 선택하여 탐지기 세부 정보 또는 탐지 규칙을 변경할 수 있어요.
- 마지막으로 필드 매핑 탭을 선택하여 탐지기의 필드 매핑을 편집하거나 알림 트리거 탭을 선택하여 탐지기와 연결된 알림을 편집할 수 있어요.
{: width="40%" }
알림 트리거 탭을 선택한 후 페이지 하단에서 다른 알림 조건 추가를 선택하여 탐지기에 추가 알림을 추가할 수도 있어요. {: .tip }
위협 인텔리전스 피드
위협 인텔리전스 피드는 위험이나 위협과 관련된 정보를 수집하는 실시간 연속 데이터 스트림이에요. 전술적 위협 인텔리전스 피드에서 클러스터가 손상되었을 수 있음을 암시하는 정보(예: 알 수 없는 사용자나 위치에서의 로그인 또는 읽기 볼륨 증가와 같은 비정상적인 활동)를 *침해 지표(IOC)*라고 해요. 이러한 IOC는 조사자가 보안 사고를 격리하는 데 사용할 수 있어요.
악성 IP 주소와 관련된 Sigma 규칙에 대해 위협 인텔리전스를 활성화할 수 있어요.
위협 인텔리전스 피드를 활성화하려면 위협 인텔리전스 기반 탐지 활성화 옵션을 선택하세요.
위협 인텔리전스 피드는 표준 로그 유형에서만 작동해요.
탐지기 작업
위협 탐지기 작업을 사용하면 탐지기를 중지 및 시작하거나 탐지기를 삭제할 수 있어요. 작업을 활성화하려면 먼저 목록에서 하나 이상의 탐지기 옆에 있는 확인란을 선택하세요.
{: width="50%" }
탐지기 상태 변경하기
- 상태를 변경하려는 탐지기 또는 탐지기들을 목록에서 선택하세요. 작업 드롭다운 목록이 활성화돼요.
- 탐지기가 현재 활성 또는 비활성인지에 따라 탐지기 중지 또는 탐지기 시작을 선택하세요. 잠시 후 탐지기 목록에 탐지기 상태 변경이 비활성 또는 활성으로 나타나요.
탐지기 삭제하기
- 삭제하려는 탐지기 또는 탐지기들을 목록에서 선택하세요. 작업 드롭다운 목록이 활성화돼요.
- 드롭다운 목록에서 삭제를 선택하세요. 탐지기 삭제 팝업 창이 열리고 탐지기 또는 탐지기들을 삭제할 것인지 확인을 요청해요.
- 취소를 선택하여 작업을 거부하세요. 탐지기 삭제를 선택하여 목록에서 탐지기 또는 탐지기들을 영구적으로 삭제하세요.