sonar-ip-addresses

자산으로 등록된 IP 주소 목록을 조회합니다. 옵션 없이 실행하면 등록된 모든 자산 IP를 반환하고, cve 옵션을 사용하면 특정 CVE 취약점이 등록된 자산 IP만 반환합니다.

sonar-ip-addresses [cve=STR]

필드	타입	설명
`guid`	문자열	자산 IP GUID
`ip`	문자열	IP 주소
`category_name`	문자열	자산 분류 이름
`category_guid`	문자열	자산 분류 GUID
`hostname`	문자열	호스트명
`workgroup`	문자열	워크그룹 또는 도메인
`description`	문자열	자산 설명
`priority`	문자열	자산 우선순위 (`LOW`, `MEDIUM`, `HIGH`)
`emp_name`	문자열	1차 담당자 이름
`emp_name2`	문자열	2차 담당자 이름
`emp_guid`	문자열	1차 담당자 GUID
`emp_guid2`	문자열	2차 담당자 GUID
`emp_key`	문자열	1차 담당자 키
`emp_key2`	문자열	2차 담당자 키
`dept_name`	문자열	1차 담당자 부서명
`dept_name2`	문자열	2차 담당자 부서명
`os_name`	문자열	운영체제 이름
`os_ver`	문자열	운영체제 버전
`confidentiality`	문자열	기밀성 등급 (CIA 트라이어드, `LOW`, `MEDIUM`, `HIGH`)
`integrity`	문자열	무결성 등급 (CIA 트라이어드, `LOW`, `MEDIUM`, `HIGH`)
`availability`	문자열	가용성 등급 (CIA 트라이어드, `LOW`, `MEDIUM`, `HIGH`)
`created`	날짜	자산 등록 시각
`updated`	날짜	자산 최종 수정 시각
`mac`	문자열	MAC 주소
`location`	문자열	자산 위치
`installed`	날짜	설치 일자
`site_name`	문자열	사이트 이름
`site_guid`	문자열	사이트 GUID
`ext0` ~ `ext9`	문자열	사용자 정의 확장 필드 0~9

오류 코드	메시지	설명
300101	유효하지 않은 세션입니다.	유효하지 않은 세션에서 실행
300184	CVE ID 포맷이 잘못되었습니다.	`cve` 옵션 값이 올바른 CVE ID 형식이 아님. 오류 코드는 계열에 따라 다릅니다 — 4.0 계열은 300184, 5.0 계열(5.0.2605.2까지)은 300142입니다

해당 사항 없음

sonar-ip-addresses는 소나에 자산 IP로 등록된 정보를 조회합니다. 내부적으로 1,000건씩 페이지 단위로 조회하여 전체 자산 IP를 순차적으로 반환합니다.

cve 옵션을 사용하면 지정한 CVE 취약점이 등록된 자산 IP만 반환합니다. CVE ID는 대소문자를 구분하지 않으며, 내부적으로 대문자로 변환합니다.

결과를 다른 이벤트 데이터와 join하거나 iplookup과 함께 활용하면 이벤트 발생 자산의 상세 정보를 조회할 수 있습니다.

특정 CVE 취약점이 등록된 자산 IP만 조회

sonar-ip-addresses cve="CVE-2024-12345"
| fields ip, hostname, os_name, os_ver, dept_name

자산 IP 목록과 이벤트를 조인하여 이벤트 발생 자산 정보 조회

event duration=1h
| join dst_ip [ sonar-ip-addresses | rename ip as dst_ip ]
| fields _time, src_ip, dst_ip, hostname, dept_name

운영체제별 자산 IP 수 집계

sonar-ip-addresses
| stats count by os_name
| sort -count

sonar-ip-addresses 명령어는 소나 4.0.2609.0(5.0 계열은 5.0.2603.0) 버전부터 사용 가능합니다.

4.0 계열 웹 콘솔은 자산에 CVE 취약점을 등록하는 화면을 제공하지 않으므로, cve 옵션을 지정하면 결과가 항상 비어 있습니다.