배치 탐지

개요

배치 탐지는 일정에 따라 로그프레소 쿼리나 데이터셋을 실행해, 일정 기간 누적된 로그와 테이블 데이터를 분석하는 기능입니다. 정책 > 배치 탐지에서 시나리오를 관리하세요. 탐지 결과는 탐지 현황, 티켓, 소명, 플레이북과 같은 후속 대응 기능으로 연결할 수 있습니다.

실시간 탐지가 즉시 반응하는 탐지에 적합하다면, 배치 탐지는 저빈도 공격, 장기간 지속된 이상 행위, 다수의 로그를 묶어서 판단해야 하는 패턴을 찾는 데 적합합니다. 예를 들어 일정 시간 동안 누적된 접속 기록이나 방화벽 로그를 기준으로 포트 스캔, 반복 실패, 내부 이동 징후를 찾아내는 식으로 활용할 수 있습니다. 시나리오를 MITRE ATT&CK 기술과 전술에 연결해 탐지 목적을 구조적으로 관리할 수도 있습니다.

다음 그림은 배치 탐지 시나리오의 동작을 표현한 것입니다. 배치 탐지 시나리오는 보통 테이블에 저장된 데이터 원본을 대상으로 적용됩니다.

배치 탐지 시나리오는 로그프레소 쿼리 명령어 및 함수를 이용하므로 유연한 시나리오 작성이 가능합니다. 예를 들어 특정 사용자의 활동 관계를 파악하여 관련된 잠재적인 위협을 예측하고 의심스러운 활동을 탐지할 수 있습니다.

배치 탐지 시나리오는 대부분의 경우 이벤트 탐지 시 티켓을 발행하거나, 이벤트 행위자에게 소명을 요청합니다. 과도한 티켓 발행은 악성코드 분석가나 보안관제 담당자의 업무 피로도를 높이므로 중복 티켓 발행을 최소화할 필요가 있습니다. 로그프레소 소나는 이벤트 탐지 시 알람 메시지와 티켓 제목으로 사용되는 메시지, 또는 중복 기준 필드를 기준으로 동일한 내용의 이벤트를 하나의 티켓으로 처리하는 기능을 제공합니다.

클러스터 관리자와 관리자 역할의 계정은 배치 탐지 시나리오를 조회하고 추가·수정·삭제·복제·실행할 수 있으며, 버전 복원과 예외 규칙 관리도 같은 권한으로 수행합니다. 사용자 역할의 계정은 목록과 설정을 조회만 할 수 있습니다.

배치 탐지 시나리오 목록 조회/검색

정책 > 배치 탐지에서 배치 탐지 시나리오 목록을 조회하거나 검색할 수 있습니다. 목록은 시나리오 이름 순으로 정렬됩니다.

• 앱: 탐지 시나리오와 관련된 앱 아이콘. 기본 시나리오나 사용자가 추가한 시나리오는 로그프레소 아이콘으로, 설치된 앱의 시나리오는 해당 앱 아이콘으로 표시합니다.
• 활성화: 탐지 시나리오 활성화 토글 버튼(: 활성화됨, : 비활성화됨)
• 중요도: 탐지 시나리오의 중요도. 상, 중, 하로 표시합니다.
• 분류: 시나리오에 적용된 분류
• 시나리오: 탐지 시나리오 이름
• 일정: 탐지 시나리오의 실행 주기
• 티켓: 티켓 발행 설정 여부(: 설정됨, : 설정 안 됨)
• 소명: 소명 요청 설정 여부(: 설정됨, : 설정 안 됨)
• 수정일: 탐지 시나리오가 마지막으로 수정된 일시(수정한 적이 없으면 생성된 일시)

배치 탐지 목록에서 특정 배치 탐지 시나리오를 찾으려면 도구 모음에 있는 검색 도구를 사용하세요. 검색어는 시나리오의 이름, 설명, 쿼리문에서 찾습니다. 메시지나 분류 이름은 검색 대상이 아닙니다.

도구 모음의 분류, 활성화, 티켓, 소명 드롭다운을 이용하면 필요한 시나리오만 빠르게 필터링할 수 있습니다. 활성화는 활성/비활성, 티켓과 소명은 사용/미사용 중에서 선택합니다.

시나리오 활성화/비활성화

배치 탐지 시나리오를 활성화하거나 비활성화하려면 탐지 시나리오의 활성화 열에 있는 토글 버튼을 클릭하세요(: 활성화됨, : 비활성화됨). 일정에 따른 실행은 활성화된 시나리오에만 적용됩니다.

목록 다운로드

배치 탐지 시나리오 목록을 로컬 PC에 저장하려면 도구 모음에 있는 를 클릭한 후, 배치 시나리오 목록 다운로드 대화상자에서 파일 이름, 내려받을 컬럼, 파일 형식, 인코딩, 범위를 지정하고 다운로드를 클릭하세요. 컬럼에는 목록에 표시되지 않는 요약(메시지), 소유자, 생성일, 설명, 담당, 소명 설정, 알람 그룹도 포함할 수 있습니다.

목록 새로 고침

배치 탐지 시나리오의 목록을 최신 정보로 조회하려면 도구 모음에 있는 을 클릭하세요.

수용 가능 위험 설정

XDR 라이선스가 활성화된 환경에서는 수용 가능 위험 점수를 설정하여 예상 티켓 수를 추정할 수 있습니다. 수용 가능 위험 점수는 개별 시나리오가 아니라 시스템 전체에 하나만 설정하며, 실시간 탐지와 배치 탐지가 같은 값을 공유합니다.

이 점수는 시나리오 설정 화면 아래쪽의 티켓 발생 조건과 함께 동작합니다. 티켓 발생 조건을 수용 가능 위험 점수 초과 시 발생으로 지정한 시나리오는, 탐지된 이벤트의 위험 점수가 여기서 설정한 점수를 넘을 때만 티켓을 발행합니다. 이 선택지 역시 XDR 라이선스가 있을 때만 나타납니다.

수용 가능 위험을 설정하려면,

1. 도구 모음에 있는 을 클릭하고, 나타나는 메뉴에서 수용 가능 위험 설정을 클릭하세요. 이 메뉴는 XDR 라이선스가 활성화된 환경에서만 표시됩니다.

   

2. 수용 가능 위험 설정 대화상자에서 수용 가능 위험 점수(1-100)를 입력한 후 발생 건수 예측을 클릭하세요. 예측 결과에 전날 0시부터 당일 0시까지 하루 동안의 티켓 발생 건수가 표시됩니다. 적용하려면 저장을, 취소하려면 취소를 클릭하세요.

   

배치 탐지 시나리오 추가

배치 탐지 시나리오를 추가하려면,

1. 정책 > 배치 탐지에서 도구 모음에 있는 추가를 클릭하세요.

2. 배치 탐지 시나리오 추가 화면에서 공통 설정 항목을 설정하세요.

   

   • 이름: 탐지 시나리오 이름(필수, 최대 255자). 다른 시나리오와 중복된 이름을 지정할 수 없습니다.

   • 분류: 탐지 시나리오 분류(기본값: 미분류). 분류는 분석 > 탐지 현황에서 탐지 현황 목록에 분류로 표시됩니다. 필요한 분류는 시나리오 분류에서 미리 추가해 둘 수 있습니다.

   • 메시지: 이벤트 탐지 시 티켓에 부여할 제목(필수, 최대 2,000자)

     • 로그 스키마에 정의된 필드 이름을 $필드이름 또는 $필드이름$ 형식으로 입력하면 이벤트 탐지의 근거가 된 로그에서 필드 값을 가져와 메시지를 생성합니다(예: $src_ip). 필드 이름에 한글이 포함되어 있는 경우, 반드시 $필드이름$ 형식을 사용하세요.
     • 중복 기준 필드를 설정하지 않으면, 생성된 메시지의 동일 여부를 기준으로 중복 티켓 발생을 방지(중복 티켓 축약)합니다.

   • 중요도: 탐지된 이벤트의 중요도(상, 중, 하)

   • 분석대상 기간: 데이터를 분석할 대상 기간. 시간 단위(초, 분, 시, 일)를 선택하고 숫자를 입력하세요(기본값: 비어 있음, 단위 기본값: 일, 최대 365일). 단위와 무관하게 환산한 기간이 365일을 넘으면 저장할 수 없습니다. 기간을 지정하면 시나리오를 실행할 때마다 실행 시각에서 역산한 시작 시각과 실행 시각이 각각 매개변수 from, to로 전달됩니다. 이 기간을 적용하려면 쿼리문에서 데이터를 가져오는 명령어(예: table)에 from=$("from") to=$("to") 옵션을 지정하세요.

     예를 들어, 분석대상 기간을 30일로 지정하면 table from=$("from") to=$("to") *:FW_FLOW로 시작하는 쿼리를 실행할 때마다, 실행 시각부터 역산하여 30일 전부터 수집된 데이터를 FW_FLOW 테이블에서 가져옵니다.

   • 절사 단위: from, to 매개변수에 적용할 시간 정밀도(기본값: 선택 안 함, 선택지: 초 단위, 분 단위, 시 단위, 일 단위). 선택한 단위보다 작은 시간 정보는 버립니다. 분석대상 기간을 비워 두면 절사 단위도 적용되지 않습니다.

     예를 들어, 분석대상 기간이 1일, 절사 단위가 시 단위이고 시나리오가 09시 07분에 실행되면, 전날 09시 00분부터 당일 09시 00분까지를 분석합니다.

   • 담당자: 발행된 티켓을 할당할 담당자 계정. 검색 상자에 이름을 입력해 계정을 1개 이상 선택할 수 있습니다. 미지정 시 담당자 없이 티켓이 생성됩니다.

   • 일정: 탐지 시나리오의 실행 주기(기본값: 매년 1월 1일 0시 0분). ... 버튼을 클릭하면 실행 주기 설정 대화상자가 나타납니다. 기본 탭에서 매분, 매시, 매일, 매월 버튼으로 주기를 고른 뒤 분, 시, 일, 월, 요일을 조정하거나, 고급 탭에서 CRON 문법으로 직접 입력한 후 확인을 클릭하세요.

   • 알람 그룹: 티켓이 새로 발행될 때 알림을 받을 알람 그룹

     Note

     알람 수신 방법은 알람 그룹에서 선택하세요.
     

3. 이벤트 탐지 시 공격자의 IP 주소 또는 이상 행위자의 IP 주소를 별도 관리하거나, 방화벽, IPS 등과 연동하여 주소 그룹 정보를 전달하려면 다음 항목을 설정하세요.

   

   • 주소 그룹: IP 차단필드로 지정된 필드의 값(IP 주소)을 추가할 주소 그룹
   • 차단기간 (분): 주소 그룹에 추가한 IP 주소의 유지 시간(단위: 분). 설정한 차단 기간이 경과하면 자동으로 주소 그룹에서 IP 주소가 삭제됩니다. 미지정 시 주소 그룹에 영구히 유지합니다(범위: 1-100,000,000).
   • IP 차단필드: 이벤트 탐지 시 주소 그룹에 추가할 IP 주소 필드. 쿼리 결과에 포함되는 IP 주소 필드 이름을 입력하세요(예: src_ip, dst_ip) (최대 50자).

   타사 정보보호 시스템과의 차단 연동 설정은 차단 연동을 참고하세요.

4. 분석 방식에서 일정에 따라 실행할 데이터 분석 방식을 선택하고, 그 아래에 나타나는 항목을 설정하세요(필수, 기본값: 쿼리).

   

   • 데이터셋: 검색 상자에서 실행할 데이터셋을 선택하세요. 선택한 데이터셋의 쿼리가 실행됩니다.
   • 쿼리: 쿼리 편집기에 쿼리문을 직접 입력하세요(분석 방식이 쿼리일 때 필수, 최대 10,000자). 쿼리문은 저장하기 전에 검사되며, 실행할 수 없는 쿼리문은 저장할 수 없습니다.

   쿼리 결과의 각 행이 하나의 이벤트가 됩니다. 메시지나 중복 기준 필드에서 참조하는 필드, IP 차단필드, 소명 대상자 필드는 쿼리 결과에 포함되어야 합니다. 예를 들어 다음 쿼리는 비업무 시간에 원격 데스크톱으로 3회 이상 로그인한 계정을 하루 단위로 집계합니다.

   table from=$("from") to=$("to") *:AD_SECURITY
   | search event_id == 4624 and logon_type == 10
   | eval hour = int(string(_time, "HH"))
   | search hour < 7 or hour >= 22
   | stats count, values(src_ip) as src_ip, min(_time) as first_seen by user
   | search count >= 3
   

5. 배치 탐지 시나리오를 특정 앱과 MITRE ATT&CK 기술·전술에 연결해 관리하려면 다음 항목을 설정하세요.

   

   • 시그니처 앱: 탐지 이벤트의 signature 필드 값을 어느 앱의 시그니처에서 찾을지 정합니다(설치된 앱 목록에서 선택). 이 항목은 XDR 라이선스가 활성화된 환경에서만 표시됩니다.
   • MITRE ATT&CK 기술: 시나리오가 탐지하려는 MITRE ATT&CK 기술. 검색 상자에 T1078처럼 기술 ID나 기술 이름을 입력하고 목록에서 선택하면 태그로 추가됩니다. 하나 이상 선택할 수 있습니다.
   • MITRE ATT&CK 전술: 시나리오가 대응하는 MITRE ATT&CK 전술. 기술을 선택하면 그 기술이 속한 전술이 자동으로 추가되며, 전술 태그를 클릭해 제외하거나 다시 포함할 수 있습니다. 기술을 선택하지 않은 경우에는 검색 상자에 TA0001처럼 전술 ID나 전술 이름을 입력해 직접 선택합니다.
   • 설명: 탐지 시나리오의 세부 설명(최대 2,000자)

6. 탐지된 이벤트가 조직의 임직원과 관련 있는 경우, 해당 임직원에게 소명을 요구할 수 있습니다. 소명 항목의 소명 요청 사용 확인란을 선택하면 다음 항목이 나타납니다.

   

   • 소명 대상자 필드: 소명 대상 임직원의 사번이 담긴 필드(필수, 기본값: emp_key, 최대 50자). 쿼리 결과에 이 필드가 있어야 하며, 없으면 쿼리에서 계정이나 IP 주소를 사번으로 변환하는 필드를 만들어야 합니다.

     위협이 탐지되면 해당 사번에 매핑된 임직원에게 자동으로 소명 요청 메일이 발송됩니다. 이 경우 계정 > 임직원에서 임직원 정보(사번, 계정, 이메일)를 먼저 설정해야 합니다.

   • 분류: 소명의 분류(필수). 필요한 분류는 소명 분류에서 미리 추가해 둘 수 있습니다.

   • 1차 검토자, 2차 검토자: 소명의 1차 검토자와 2차 검토자. 임직원 검색 상자에서 선택합니다. 1차 검토자를 지정하지 않으면 소명 대상자의 상급자가 1차 검토자가 되며, 상급자 정보가 없으면 소명 요청이 생성되지 않습니다. 2차 검토자를 지정하지 않으면 2차 검토 없이 종결됩니다. 자세한 내용은 소명을 참고하세요.

   • 마감시한 (일): 소명 처리 기한(필수, 기본값: 7일, 최대 255일). 마감시한이 지나면 소명 대상자는 소명을 제출할 수 없습니다.

   • 소명 요청 메시지: 소명 요청 시 전달할 메시지(최대 10,000자). 입력한 내용은 메일/SMS 템플릿 본문에서 텍스트 매크로 $user_note가 삽입된 위치에 들어갑니다. $src_ip처럼 필드 매크로를 포함해 탐지 근거를 함께 안내할 수 있습니다.

7. 이벤트 탐지 시 티켓을 발행하려면 다음 항목을 설정하세요.

   

   • 티켓 발생 조건: 이벤트 탐지 시 티켓을 발행할 조건(기본값: 발생 안 함)

     • 항상 발생: 이벤트가 탐지될 때마다 티켓을 발행합니다.
     • 수용 가능 위험 점수 초과 시 발생: 탐지된 이벤트의 위험 점수가 수용 가능 위험 설정에서 지정한 점수를 넘을 때만 티켓을 발행합니다. 이 선택지는 XDR 라이선스가 활성화된 환경에서만 나타납니다.
     • 발생 안 함: 티켓을 발행하지 않습니다. 이벤트는 분석 > 탐지 현황에만 기록됩니다.

   • 티켓 분류: 발행할 티켓을 구분하는 티켓 분류. 티켓 발생 조건이 발생 안 함이 아니면 반드시 선택해야 하며, 발생 안 함일 때는 선택할 수 없습니다.

     Note

     이벤트를 트리거로 동작하는 플레이북에서 티켓 생성 여부를 결정하려면 티켓 발생 조건을 발생 안 함으로 두세요.
     

   • 중복 기준 필드: 티켓 중복 확인 기준 필드의 이름을 쉼표(,)를 구분자로 해서 $필드이름과 같은 매크로 형식으로 입력(최대 2,000자). 미설정 시 메시지 문자열을 기준으로 판단합니다.

     예를 들어, 메시지를 C&C 서버 접속: $src_ip -> $dst_ip로 설정했지만, 동일 호스트에서 다른 C&C 서버로 접속하는 이벤트나 티켓을 불필요하게 다수 발생하지 않도록 하려면 중복 기준 필드를 $src_ip로 설정하세요.

   • 중복 이벤트 제거 (초): 티켓 발행 후 동일한 이벤트가 연속해서 발생할 때, 중복 이벤트를 무시할 기간(필수, 기본값: 0, 범위: 0 - 86,400초)

     • 0일 때: 중복 티켓 축약 설정에 따라 동작
     • 0이 아닐 때: 지정된 기간 동안 동일한 이벤트를 무시하고, 해당 티켓의 근거 자료로도 사용하지 않음

   • 중복 티켓 축약 (초): 티켓 발행 후 동일한 이벤트가 발생할 때, 새 티켓을 발행하지 않고 이미 발행된 티켓에 근거 자료 및 발생 횟수만 추가할 기간(필수, 기본값: 3,600, 범위: 0 - 86,400초)

     • 0일 때: 이벤트가 발생할 때마다 동일한 제목의 티켓 생성
     • 0이 아닐 때: 지정된 기간 동안 기존 티켓에 근거 자료 및 발생 횟수만 기록

   • 출력 필드 순서: 티켓의 근거 자료와 알람 메일에 표시할 필드 순서. 필드 이름을 표시할 순서대로 쉼표(,)로 구분하여 입력(최대 2,000자).

   • 티켓 완료 처리 방식: 중복 티켓 축약이 설정된 티켓이 완료된 이후 처리 방식(기본값: 축약 타이머 초기화)

     • 축약 타이머 유지: 티켓이 완료 처리되더라도 중복 티켓 축약 시간이 만료될 때까지 동일한 위협 이벤트가 발생하면 완료된 티켓에 근거 자료 및 발생 횟수 기록
     • 축약 타이머 초기화: 티켓이 완료 처리되면 중복 티켓 축약 시간도 만료된 것으로 보고, 동일한 위협 이벤트 발생 시 새 티켓 발행

8. 저장하기 전에 쿼리가 의도한 결과를 내는지 확인하려면 화면 맨 아래의 시뮬레이션 항목을 사용하세요.

   

   • 가상 실행 시각: 시나리오가 실행되는 것으로 가정할 시각. 비워 두면 현재 시각을 기준으로 합니다.
   • 실행: 시뮬레이션 쿼리를 실행하고 결과를 실행 결과에 표시합니다. 실행하려면 분석 방식의 쿼리가 유효해야 합니다.
   • 쿼리 창 열기: 시뮬레이션 쿼리를 새 창의 쿼리 화면에서 실행합니다. 실행과 마찬가지로 쿼리가 유효할 때만 사용할 수 있습니다.
   • 시뮬레이션 쿼리: 실제로 실행될 쿼리문. 분석대상 기간과 절사 단위에 따라 계산한 from, to 값을 설정하는 set 명령어가 앞에, 출력 필드 순서에 따라 정렬하는 order 명령어가 뒤에 자동으로 붙습니다. 직접 수정할 수 없습니다.
   • 실행 결과: 시뮬레이션 쿼리의 결과 표.

   시뮬레이션은 결과만 보여 주며 이벤트나 티켓을 만들지 않습니다.

9. 입력한 속성이 올바른지 검토한 후 저장을 클릭하세요. 추가한 시나리오는 활성화 상태로 저장됩니다.

배치 탐지 시나리오 복제

기존에 추가한 배치 탐지 시나리오를 복제하려면,

1. 배치 탐지 시나리오 목록에서 복제할 배치 탐지 시나리오 행의 체크박스를 선택하면 도구 모음에 작업 수행 메뉴가 나타납니다.
2. 도구 모음에서 복제를 클릭하세요.
3. 배치 탐지 시나리오 복제 대화상자에서 복제할 배치 탐지 시나리오 목록을 확인한 후 복제를 클릭하세요. 복제하지 않으려면 취소를 클릭하세요.
4. 이름이 복제 대상 시나리오 이름의 사본인 새 시나리오가 비활성화 상태로 추가됩니다. 같은 이름이 이미 있으면 이름 뒤에 (2)처럼 번호가 붙습니다.

배치 탐지 시나리오 수정

배치 탐지 시나리오를 수정하려면,

1. 배치 탐지 시나리오 목록에서 수정할 배치 탐지 시나리오 이름을 클릭하세요.
2. 배치 탐지 시나리오 수정 화면의 설정 탭에서 정보를 수정한 후 저장을 클릭하세요. 수정할 속성에 대한 설명은 배치 탐지 시나리오 추가를 참고하세요.

수정 화면에는 설정 외에 버전 이력, 예외 규칙 탭이 있습니다. 저장하지 않은 변경 사항이 있을 때 다른 탭으로 이동하면 변경 사항을 버릴지 확인하는 대화상자가 나타납니다.

배치 탐지 시나리오 실행

일정을 기다리지 않고 배치 탐지 시나리오를 바로 실행하려면,

1. 배치 탐지 시나리오 목록에서 실행할 배치 탐지 시나리오 행의 체크박스를 선택하세요.
2. 도구 모음에 작업 수행 메뉴가 나타납니다. 작업 수행 메뉴에서 지금 실행을 클릭하세요.
3. 시나리오 실행 대화상자에서 실행할 시나리오 목록을 확인한 후 실행을 클릭하세요.
4. 시나리오에 따라 이벤트가 탐지되면 대응 > 티켓 및 분석 > 탐지 현황에서 탐지 결과를 확인할 수 있습니다.

배치 탐지 시나리오 버전 이력 보기

배치 탐지 시나리오를 추가하거나 수정할 때마다 새 버전이 자동으로 생성됩니다. 시나리오 수정 화면의 버전 이력 탭에서 과거 버전을 확인하고, 특정 버전으로 되돌리거나 별도의 시나리오로 복제할 수 있습니다.

1. 배치 탐지 시나리오 목록에서 버전 이력을 확인할 시나리오 이름을 클릭하세요.

2. 시나리오 수정 화면 상단의 버전 이력 탭을 클릭하세요. 최신 버전부터 시간 역순으로 버전 카드가 표시됩니다. 카드는 10개씩 불러오며, 더 있으면 목록 아래의 데이터 더 불러오기를 클릭하세요.

   

각 버전 카드에는 다음 정보가 표시됩니다.

• 버전을 변경한 시각과 변경한 계정, 버전 번호 (예: 2026-04-12 17:30:00에 김서준님이 변경했습니다. - 버전 3)
• 해당 버전 시점의 배치 쿼리 본문
• 변경 이력: 이전 버전과 비교해 바뀐 항목을 항목이(가) 새 값 (으)로 변경되었습니다. (이전 값: 이전 값) 형식으로 보여줍니다. 바뀐 항목이 3개를 초과하면 N개 더 보기 + 버튼으로 전체 항목을 펼쳐 보고 접기로 다시 접을 수 있습니다. 바뀐 항목이 없으면 변경 사항이 없습니다.로 표시됩니다.
• 복원으로 생성된 버전이라면 변경 이력 제목 옆에 기준이 된 버전 번호 (예: 버전 2(으)로 복원됨)

이전 버전으로 복원

이전 버전의 설정으로 시나리오를 되돌리려면,

1. 버전 이력 탭에서 복원할 버전 카드를 찾으세요. 현재 사용 중인 버전과 변경 사항이 없는 버전에는 복원 버튼이 표시되지 않습니다.
2. 카드의 복원을 클릭하세요.
3. 확인 대화상자에서 복원할 버전을 확인한 후 복원을 진행하세요.
4. 복원에 성공하면 복원한 설정이 새 버전으로 생성되고 설정 탭으로 돌아갑니다. 검증에 실패하면 실패 사유를 보여주는 대화상자가 표시되며, 시나리오 수정을 클릭하면 복원하려던 설정을 설정 탭에 불러와 직접 수정할 수 있습니다.

이전 버전을 새 시나리오로 복제

이전 버전의 설정을 기반으로 별도의 시나리오를 만들려면,

1. 버전 이력 탭에서 복제할 버전 카드의 복제를 클릭하세요. 변경 사항이 없는 버전에는 복제 버튼이 표시되지 않습니다.
2. 시나리오 복제 대화상자에서 새 시나리오의 이름을 입력한 후 복제를 진행하세요. 이름의 기본값은 시나리오 이름 버전 N의 사본입니다.
3. 입력한 이름으로 새 시나리오가 추가됩니다. 복제한 버전의 활성화 상태가 그대로 따라오므로 목록에서 활성화 여부를 확인하세요.

배치 탐지 시나리오 예외 규칙

특정 조건에 해당하는 이벤트를 탐지에서 제외하려면 예외 규칙을 등록하세요. 예외 규칙은 시나리오마다 따로 관리하며, 지정한 유효 기간 동안에만 적용됩니다.

1. 배치 탐지 시나리오 목록에서 예외 규칙을 관리할 시나리오 이름을 클릭하세요.

2. 시나리오 수정 화면 상단의 예외 규칙 탭을 클릭하세요.

   

   • 규칙: 등록한 예외 조건. 저장된 조건을 필드, 비교 연산자, 값 순서의 문자열로 풀어서 표시하며, 조건이 여럿이면 AND 또는 OR로 묶어 보여줍니다.
   • 메모: 예외 규칙을 등록한 이유 등의 설명
   • 유효 기간: 예외가 적용되는 시작 일시와 종료 일시
   • 작성자: 예외 규칙을 등록한 계정. 열 목록의 오른쪽 끝에 있어 패널 너비에 따라 가로로 스크롤해야 보입니다.

   검색 도구에 키워드를 입력하면 메모와 저장된 조건에서 키워드를 찾아 목록을 필터링합니다. 화면에 보이는 규칙 문자열이 아니라 저장된 조건을 대조하므로, 비교연산자 기호처럼 화면에만 있는 문자로는 검색할 수 없습니다.

예외 규칙 추가

예외 규칙 추가 대화상자는 실시간 탐지 시나리오와 같습니다.

1. 예외 규칙 탭에서 추가를 클릭하세요.

2. 예외 규칙 추가 대화상자에서 규칙 구분을 선택하세요.

   

   • 출발지 IP: 출발지 IP 주소 필드 하나로 조건을 만듭니다.
   • 목적지 IP: 목적지 IP 주소 필드 하나로 조건을 만듭니다.
   • 출발지 IP / 목적지 IP: 두 필드의 조건을 AND로 묶습니다.
   • 사용자 정의: 조건 빌더로 필드와 조건을 직접 구성합니다.

3. 규칙에 조건을 입력하세요. 사용자 정의를 선택하면 조건 빌더가 나타납니다.

   

   • 묶음의 AND, OR를 눌러 하위 조건을 결합하는 방식을 정하세요.
   • 필터 행은 값 유형(문자열, 숫자, 불리언, IP 주소), 필드 이름, 비교 방법, 값으로 구성됩니다. 필드 이름은 쿼리 결과의 필드 이름과 같아야 합니다.
   • 필터를 클릭하면 같은 묶음에 조건을 더하고, AND 그룹 또는 OR 그룹을 클릭하면 하위 묶음을 만듭니다. 묶음은 3단계까지 만들 수 있으며, 필터 조건은 최대 50개, 조건 묶음은 최대 10개까지 추가할 수 있습니다.

4. 메모에 예외를 등록한 이유를 입력하세요(최대 2,000자).

5. 유효 기간에 시작 일시와 종료 일시를 지정하세요(기본값: 오늘부터 7일). 종료 일시는 시작 일시보다 앞설 수 없고, 현재 시각보다 뒤여야 합니다.

6. 추가를 클릭하세요. 취소하려면 취소를 클릭하세요.

예외 규칙 삭제

• 개별 규칙을 삭제하려면 목록에서 규칙의 체크박스를 선택한 뒤 도구 모음의 를 클릭하세요.
• 유효 기간이 지난 규칙을 한 번에 정리하려면 만료된 규칙 삭제를 클릭하세요. 확인 대화상자에서 삭제 대상 목록을 확인한 뒤 삭제를 진행하세요.

배치 탐지 시나리오 삭제

배치 탐지 시나리오를 삭제하려면,

1. 배치 탐지 시나리오 목록에서 삭제할 배치 탐지 시나리오 행의 체크박스를 선택하세요.
2. 도구 모음에 작업 수행 메뉴가 나타납니다. 작업 수행 메뉴에서 삭제를 클릭하세요.
3. 배치 탐지 시나리오 삭제 대화상자에서 삭제할 배치 탐지 시나리오 목록을 확인한 후 삭제를 클릭하세요. 삭제하지 않으려면 취소를 클릭하세요.